# 19.5 DNS, DHCP, Gateway und NAT Spickzettel Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen: - DNS - DHCP - Gateway - NAT Diese Begriffe werden in Aufgaben oft gemeinsam geprüft, weil sie für normalen Netzwerkzugriff zusammenwirken. Merksatz: DNS findet Namen. DHCP verteilt Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. --- **Grundidee im Überblick** | Begriff | Hauptaufgabe | Typisches Fehlerbild | |---|---|---| | DNS | Namen in IP-Adressen auflösen | IP geht, Name nicht | | DHCP | IP-Konfiguration automatisch verteilen | 169.254.x.x oder falsche IP | | Gateway | Weg in andere Netze bereitstellen | lokal geht, Internet nicht | | NAT | private Adressen in öffentliche Adressen übersetzen | intern geht, extern nicht oder Portweiterleitung fehlerhaft | Merksatz: Jeder Begriff löst ein anderes Problem. --- **DNS kurz erklärt** DNS steht für: Domain Name System Aufgabe: DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird aufgelöst zu: einer IPv4- oder IPv6-Adresse Merksatz: DNS ist das Namenssystem des Netzwerks. --- **DNS-Frage in der Prüfung** Typisches Fehlerbild: Webseite ist per IP-Adresse erreichbar, aber nicht per Domainname. Wahrscheinliche Ursache: DNS-Problem Mögliche Ursachen: falscher DNS-Server DNS-Server nicht erreichbar falscher DNS-Eintrag DNS-Cache veraltet DNS-Suffix falsch Split-DNS bei VPN falsch Firewall blockiert DNS Merksatz: IP ja, Name nein: DNS prüfen. --- **Wichtige DNS-Records** | Record | Bedeutung | |---|---| | A | Name zu IPv4-Adresse | | AAAA | Name zu IPv6-Adresse | | CNAME | Alias auf anderen Namen | | MX | Mailserver einer Domain | | TXT | Textinformationen, zum Beispiel SPF | | NS | zuständiger Nameserver | | PTR | Reverse DNS, IP-Adresse zu Name | Merksatz: A ist IPv4. AAAA ist IPv6. MX ist Mail. PTR ist rückwärts. --- **DNS und Ports** DNS nutzt: UDP 53 und bei Bedarf TCP 53 UDP 53: normale DNS-Abfragen TCP 53: große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: DNS ist meistens UDP 53, aber TCP 53 nicht vergessen. --- **DNS-Prüfung mit Werkzeugen** Typische Werkzeuge: nslookup dig ping mit Namen Browser-Test DNS-Cache prüfen Wichtig: ping auf Name testet DNS und ICMP zusammen. Besser für reine DNS-Prüfung: nslookup oder dig Merksatz: DNS gezielt mit nslookup oder dig prüfen. --- **DNS-Cache** Ein DNS-Cache speichert bereits aufgelöste Namen. Vorteile: schnellere Namensauflösung weniger DNS-Anfragen Problem: veraltete Einträge können Fehler verursachen. Merksatz: DNS-Cache kann alte Informationen enthalten. --- **DNS-Suffix** Ein DNS-Suffix ergänzt unvollständige Namen. Beispiel: server01 kann ergänzt werden zu: server01.firma.local Typische Fehler: falsches Suchsuffix anderes Suffix im VPN interner Name wird extern nicht gefunden Merksatz: DNS-Suffix hilft bei kurzen internen Namen. --- **Split-DNS** Split-DNS bedeutet: interne und externe DNS-Auflösung können unterschiedliche Antworten liefern. Beispiel: intern: intranet.firma.de zeigt auf private IP-Adresse extern: intranet.firma.de ist nicht erreichbar oder zeigt auf öffentliche Adresse Typisch bei: VPN Intranet internen Diensten Hybrid-Umgebungen Merksatz: Split-DNS kann je nach Standort unterschiedliche IPs liefern. --- **DHCP kurz erklärt** DHCP steht für: Dynamic Host Configuration Protocol Aufgabe: DHCP verteilt automatisch Netzwerkkonfiguration an Clients. Typische Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit weitere Optionen Merksatz: DHCP erspart manuelle IP-Konfiguration. --- **DHCP-DORA** DORA beschreibt den DHCP-Ablauf: | Schritt | Bedeutung | |---|---| | Discover | Client sucht DHCP-Server | | Offer | Server bietet Konfiguration an | | Request | Client fordert angebotene Konfiguration an | | Acknowledge | Server bestätigt die Vergabe | Merksatz: DHCP-DORA: Discover, Offer, Request, Acknowledge. --- **DHCP und Ports** DHCP nutzt: | Rolle | Protokoll | Port | |---|---|---:| | DHCP-Server | UDP | 67 | | DHCP-Client | UDP | 68 | Merksatz: DHCP nutzt UDP 67 und UDP 68. --- **DHCP und Broadcast** Ein Client hat zu Beginn oft noch keine gültige IP-Adresse. Deshalb nutzt DHCP am Anfang Broadcast. Grund: Der Client kennt den DHCP-Server noch nicht. Der Client hat noch keine vollständige Netzwerkkonfiguration. Merksatz: DHCP beginnt häufig mit Broadcast. --- **APIPA** APIPA steht für: Automatic Private IP Addressing Bereich: 169.254.0.0/16 Bedeutung: Der Client hat keine gültige DHCP-Adresse erhalten und vergibt sich selbst eine automatische Adresse. Typisches Fehlerbild: Client hat 169.254.x.x und erreicht keine normalen Netzressourcen. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. --- **DHCP-Scope** Ein DHCP-Scope ist ein Adressbereich, aus dem DHCP Adressen vergeben darf. Beispiel: 192.168.10.100 bis 192.168.10.200 Zu einem Scope gehören oft: IP-Bereich Subnetzmaske Gateway DNS-Server Lease-Zeit Ausschlüsse Reservierungen Merksatz: DHCP-Scope = Adresspool für automatische Vergabe. --- **DHCP-Lease** Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse. Bedeutung: Ein Client erhält eine Adresse nicht für immer, sondern für eine bestimmte Lease-Zeit. Vorteil: Adressen können später wiederverwendet werden. Merksatz: DHCP-Lease = zeitlich begrenzte IP-Vergabe. --- **DHCP-Reservierung** Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu. Meist anhand der: MAC-Adresse Typisch für: Drucker Server NAS Netzwerkgeräte wichtige Clients Merksatz: Reservierung bedeutet: automatisch, aber immer dieselbe Adresse. --- **DHCP-Relay** Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter. Warum nötig? DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet. Beispiel: Client in VLAN 20 DHCP-Server in VLAN 10 Dann braucht man oft: DHCP-Relay Merksatz: DHCP-Relay hilft, wenn Client und DHCP-Server in unterschiedlichen Netzen sind. --- **DHCP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | 169.254.x.x | DHCP nicht erreicht | | falsches Gateway | falsche DHCP-Option | | falscher DNS-Server | falsche DHCP-Option | | keine Adresse mehr frei | Scope erschöpft | | nur ein VLAN betroffen | DHCP-Relay oder VLAN falsch | | manche Geräte bekommen falsche IP | falscher Scope oder falsches VLAN | | Gerät bekommt alte IP | Lease oder Reservierung prüfen | Merksatz: DHCP-Probleme betreffen IP-Konfiguration, nicht Namensauflösung. --- **Gateway kurz erklärt** Das Standardgateway ist der Router, über den ein Host andere Netze erreicht. Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren. Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.10.1 Merksatz: Gateway = Ausgang in andere Netze. --- **Gateway muss im lokalen Netz liegen** Das Gateway muss für den Client lokal erreichbar sein. Falsches Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Client liegt im Netz 192.168.10.0/24. Gateway liegt im Netz 192.168.20.0/24. Der Client erreicht sein Gateway nicht lokal. Merksatz: Standardgateway muss im gleichen lokalen Subnetz erreichbar sein. --- **Gateway-Fehler in der Prüfung** Typisches Fehlerbild: Client erreicht lokale Geräte, aber keine externen Netze. Wahrscheinliche Ursache: Gateway fehlt oder Gateway falsch Auch möglich: Routingfehler NAT-Problem Firewall blockiert Providerverbindung gestört Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen. --- **Routing kurz erklärt** Routing bedeutet: Weiterleitung von Paketen zwischen verschiedenen IP-Netzen. Ein Router entscheidet anhand seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Routing-Tabelle enthält typischerweise: Zielnetz Next Hop Interface Metrik Merksatz: Routing verbindet Netze. --- **Standardroute** Eine Standardroute ist die Route für alle Ziele, für die keine speziellere Route existiert. Schreibweise IPv4: 0.0.0.0/0 Merksatz: Standardroute = Weg für unbekannte Ziele. --- **Spezifischste Route gewinnt** Wenn mehrere Routen passen, wird die spezifischste Route verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. --- **NAT kurz erklärt** NAT steht für: Network Address Translation Aufgabe: NAT übersetzt IP-Adressen. Häufiger Einsatz: private interne IPv4-Adressen werden beim Zugriff ins Internet in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. --- **Warum NAT verwendet wird** Gründe: private IPv4-Adressen im LAN nutzen öffentliche IPv4-Adressen sparen interne Adressen nach außen verbergen Internetzugriff für viele Clients ermöglichen Wichtig: NAT ist keine vollständige Sicherheitsmaßnahme. Merksatz: NAT hilft bei Adressübersetzung, ersetzt aber keine Firewall. --- **Private IPv4-Bereiche** | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. --- **PAT kurz erklärt** PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Portnummern zur Zuordnung genutzt werden. Zweck: viele interne Clients können über eine öffentliche IP-Adresse ins Internet. Merksatz: PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen. --- **NAT und PAT vergleichen** | Begriff | Bedeutung | Typischer Einsatz | |---|---|---| | NAT | übersetzt IP-Adressen | private zu öffentliche IP | | PAT | übersetzt IP-Adressen und Ports | viele Clients über eine öffentliche IP | | Portweiterleitung | leitet externen Port intern weiter | internen Dienst von außen erreichbar machen | Merksatz: NAT übersetzt Adressen. PAT unterscheidet Verbindungen über Ports. --- **Portweiterleitung kurz erklärt** Portweiterleitung bedeutet: eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP: TCP 443 wird weitergeleitet an: interner Webserver: TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. --- **Portweiterleitung und Risiko** Portweiterleitung erhöht die Angriffsfläche, weil ein interner Dienst von außen erreichbar wird. Deshalb prüfen: Ist der Dienst wirklich nötig? Ist der Dienst gepatcht? Gibt es starke Authentifizierung? Gibt es TLS? Gibt es Logging? Gibt es Firewall-Beschränkungen? Gibt es eine DMZ? Gibt es Alternativen wie VPN? Merksatz: Portweiterleitung nur gezielt und dokumentiert einsetzen. --- **DNS, DHCP, Gateway und NAT zusammen** Ein normaler Client braucht oft: IP-Adresse von DHCP Subnetzmaske von DHCP Gateway von DHCP DNS-Server von DHCP Gateway für andere Netze NAT für Internetzugriff mit privater IPv4-Adresse DNS für Namensauflösung Merksatz: Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine. --- **Beispiel: Client kommt nicht ins Internet** Prüfreihenfolge: 1. Hat der Client eine gültige IP-Adresse? 2. Passt die Subnetzmaske? 3. Ist das Gateway eingetragen? 4. Liegt das Gateway im gleichen Subnetz? 5. Ist das Gateway erreichbar? 6. Funktioniert Zugriff auf externe IP? 7. Funktioniert DNS? 8. Funktioniert NAT? 9. Blockiert eine Firewall? Merksatz: Erst IP und Gateway, dann DNS, dann NAT und Firewall. --- **Beispiel: Webseite per IP erreichbar, per Name nicht** Fehlerbild: Zugriff auf 93.184.216.34 funktioniert. Zugriff auf www.example.com funktioniert nicht. Wahrscheinliche Ursache: DNS Prüfen: DNS-Server eingetragen? DNS-Server erreichbar? DNS-Eintrag korrekt? anderer DNS-Server testen? DNS-Cache leeren? Merksatz: Wenn IP funktioniert, ist die Grundverbindung nicht das Hauptproblem. --- **Beispiel: Client hat 169.254.x.x** Fehlerbild: Client hat APIPA-Adresse. Wahrscheinliche Ursache: DHCP nicht erreichbar Prüfen: Kabel oder WLAN VLAN DHCP-Server DHCP-Scope DHCP-Relay Firewall Switchport Merksatz: APIPA heißt: automatische Notadresse statt gültiger DHCP-Adresse. --- **Beispiel: lokal erreichbar, Internet nicht** Fehlerbild: Client erreicht Server im eigenen Netz. Internet funktioniert nicht. Mögliche Ursachen: Gateway fehlt Gateway falsch Routingfehler NAT fehlt Firewall blockiert DNS bei Namenszugriff zusätzlich möglich Merksatz: Lokale Kommunikation beweist nicht, dass Gateway und NAT funktionieren. --- **Beispiel: Portweiterleitung funktioniert nicht** Mögliche Ursachen: falscher externer Port falsche interne IP falscher interner Port Dienst läuft nicht lokale Firewall blockiert Router-Firewall blockiert NAT-Regel fehlt doppelte NAT-Umgebung öffentlicher DNS zeigt falsch Provider blockiert Port Merksatz: Bei Portweiterleitung immer externen Port, internes Ziel, Dienst und Firewall prüfen. --- **Doppeltes NAT** Doppeltes NAT bedeutet: Verkehr wird durch zwei NAT-Geräte übersetzt. Beispiel: Provider-Router und dahinter eigener Router Problem: Portweiterleitungen werden schwieriger, weil beide Geräte korrekt konfiguriert sein müssen. Merksatz: Doppeltes NAT erschwert eingehende Verbindungen. --- **CGNAT** CGNAT steht für: Carrier-Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf. Problem: Eigene Portweiterleitungen von außen funktionieren oft nicht direkt, weil der Kunde keine eigene öffentliche IPv4-Adresse hat. Merksatz: Bei CGNAT ist eingehender Zugriff von außen eingeschränkt. --- **DNS bei Portweiterleitung** Für externen Zugriff braucht man oft zusätzlich DNS. Beispiel: app.firma.de zeigt auf: öffentliche IP-Adresse Dann leitet NAT/Firewall weiter auf: internen Server Mögliche Fehler: DNS zeigt auf falsche öffentliche IP alter DNS-Cache falscher A-Record Split-DNS-Konflikt Merksatz: DNS findet die öffentliche Adresse, NAT leitet zum internen Dienst. --- **NAT und Firewall unterscheiden** | Begriff | Aufgabe | |---|---| | NAT | Adressen übersetzen | | Firewall | Verkehr erlauben oder blockieren | Wichtig: In vielen Geräten sind NAT und Firewall kombiniert. Fachlich bleiben es unterschiedliche Funktionen. Merksatz: NAT übersetzt. Firewall filtert. --- **DNS und DHCP unterscheiden** | Begriff | Aufgabe | |---|---| | DNS | Namen auflösen | | DHCP | IP-Konfiguration verteilen | Prüfungsfalle: Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem, nicht direkt ein DNS-Problem. Merksatz: DHCP gibt die Konfiguration. DNS nutzt danach diese Konfiguration. --- **Gateway und NAT unterscheiden** | Begriff | Aufgabe | |---|---| | Gateway | Router in andere Netze | | NAT | Übersetzung von Adressen | Prüfungsfalle: Ein Gateway kann vorhanden sein, aber NAT kann trotzdem fehlen oder falsch sein. Merksatz: Gateway leitet weiter. NAT übersetzt. --- **Typische Prüfungsfallen** DNS und DHCP verwechseln. Gateway und DNS verwechseln. NAT als Firewall bezeichnen. PAT nicht als Port Address Translation erkennen. Portweiterleitung mit normalem ausgehendem NAT verwechseln. Gateway außerhalb des Client-Subnetzes eintragen. DHCP-Relay vergessen. APIPA nicht erkennen. DNS nur mit UDP 53 verbinden und TCP 53 vergessen. Private IPv4-Adressen als öffentlich routbar ansehen. CGNAT bei eingehenden Verbindungen ignorieren. Merksatz: Die meisten Fehler entstehen durch Verwechslung der Aufgaben. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht DNS? - Was macht DHCP? - Was bedeutet DORA? - Welche Ports nutzt DHCP? - Welche Ports nutzt DNS? - Was bedeutet eine Adresse aus 169.254.0.0/16? - Was ist ein DHCP-Scope? - Was ist eine DHCP-Reservierung? - Was ist ein DHCP-Relay? - Was ist ein Standardgateway? - Warum muss das Gateway im lokalen Subnetz erreichbar sein? - Was ist NAT? - Was ist PAT? - Was ist eine Portweiterleitung? - Warum ersetzt NAT keine Firewall? - Warum funktioniert Zugriff per IP, aber nicht per Name? --- **IHK-sichere Kurzformulierung** DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall. --- **Merksätze** DNS löst Namen auf. DHCP verteilt IP-Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. PAT nutzt Ports. Portweiterleitung veröffentlicht Dienste. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. DHCP-DORA: Discover, Offer, Request, Acknowledge. 169.254.x.x deutet auf DHCP-Problem. DHCP-Scope ist der Adresspool. DHCP-Lease ist zeitlich begrenzte Vergabe. DHCP-Reservierung gibt einem Gerät immer dieselbe IP. DHCP-Relay leitet DHCP-Anfragen in andere Netze. Gateway muss im lokalen Subnetz erreichbar sein. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Private IPv4-Adressen werden im Internet nicht direkt geroutet. NAT ersetzt keine Firewall. NAT übersetzt, Firewall filtert. DNS findet die öffentliche Adresse, NAT leitet nach intern weiter. Doppeltes NAT erschwert Portweiterleitungen. CGNAT erschwert eingehende Verbindungen. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway, Routing, NAT, Firewall. Host ja, Dienst nein: Port, Dienst, Firewall.