# 19.6 TCP, UDP, ICMP und ARP Spickzettel Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen: - TCP - UDP - ICMP - ARP Diese Protokolle tauchen häufig in Prüfungsaufgaben, Fehlersuche und Netzwerkanalyse auf. Merksatz: TCP und UDP transportieren Daten. ICMP hilft bei Diagnose. ARP findet MAC-Adressen im lokalen Netz. --- **Grundübersicht** | Protokoll | Schicht | Hauptaufgabe | |---|---:|---| | TCP | OSI-Schicht 4 | zuverlässiger verbindungsorientierter Transport | | UDP | OSI-Schicht 4 | schneller verbindungsloser Transport | | ICMP | OSI-Schicht 3 | Kontroll- und Fehlermeldungen | | ARP | zwischen Schicht 2 und 3 | IPv4-Adresse zu MAC-Adresse auflösen | Merksatz: TCP und UDP gehören zur Transportschicht. ICMP gehört zur Netzwerkschicht. ARP verbindet IPv4 und Ethernet im lokalen Netz. --- **TCP kurz erklärt** TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten überträgt verlorene Daten erneut stellt Reihenfolge sicher nutzt Ports hat mehr Overhead als UDP Typische Anwendungen: HTTPS HTTP SSH SMTP IMAP POP3 SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. --- **TCP-Verbindungsaufbau** TCP baut vor der Datenübertragung eine Verbindung auf. Der Verbindungsaufbau heißt: Three-Way Handshake Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client möchte Verbindung aufbauen. Server bestätigt und antwortet. Client bestätigt endgültig. Merksatz: TCP startet mit SYN, SYN-ACK, ACK. --- **TCP-Zuverlässigkeit** TCP sorgt für zuverlässige Übertragung durch: Sequenznummern Bestätigungen erneute Übertragung Reihenfolgeprüfung Fehlererkennung Flusskontrolle Merksatz: TCP merkt, ob Daten angekommen sind. --- **TCP-Ports** TCP nutzt Ports, um Daten einem Dienst oder Prozess zuzuordnen. Beispiele: | Dienst | TCP-Port | |---|---:| | SSH | 22 | | HTTP | 80 | | HTTPS | 443 | | SMTP | 25 | | IMAP | 143 | | SMB | 445 | | RDP | 3389 | Merksatz: TCP-Port zeigt den angesprochenen Dienst. --- **Typische TCP-Status** | Status | Bedeutung | |---|---| | LISTEN | Dienst wartet auf eingehende Verbindungen | | SYN_SENT | Client versucht Verbindung aufzubauen | | SYN_RECEIVED | Server hat SYN erhalten und geantwortet | | ESTABLISHED | Verbindung besteht | | FIN_WAIT | Verbindung wird beendet | | TIME_WAIT | Verbindung wurde beendet, Wartephase | | CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht | Merksatz: LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. --- **TCP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | Verbindung kommt nicht zustande | Port blockiert, Dienst aus, Firewall | | SYN_SENT bleibt stehen | Ziel antwortet nicht oder Firewall blockiert | | Verbindung bricht ab | Timeout, Anwendung, Netzwerkproblem | | Dienst lauscht nicht | Dienst nicht gestartet oder falsche Schnittstelle | | viele Verbindungen offen | Last, Angriff oder Anwendung hängt | Merksatz: TCP-Fehler betreffen oft Port, Dienst, Firewall oder Verbindung. --- **UDP kurz erklärt** UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie keine erneute Übertragung durch UDP selbst nutzt Ports Typische Anwendungen: DNS DHCP VoIP Streaming Gaming NTP SNMP Merksatz: UDP = schnell, schlank und verbindungslos. --- **Warum UDP verwendet wird** UDP wird verwendet, wenn geringe Verzögerung wichtiger ist als perfekte Zustellung. Beispiele: Sprache bei VoIP soll sofort ankommen. Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung. DNS-Anfragen sind klein und sollen schnell beantwortet werden. Streaming kann einzelne Verluste oft besser verkraften als Verzögerung. Merksatz: UDP ist sinnvoll, wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit. --- **UDP-Ports** | Dienst | UDP-Port | |---|---:| | DNS | 53 | | DHCP Server | 67 | | DHCP Client | 68 | | NTP | 123 | | SNMP | 161 | | SNMP Trap | 162 | Merksatz: UDP-Port zeigt ebenfalls den angesprochenen Dienst, aber ohne TCP-Verbindungsaufbau. --- **UDP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | keine Antwort auf DNS | UDP 53 blockiert, DNS-Server falsch | | DHCP funktioniert nicht | UDP 67/68, VLAN, DHCP-Relay | | Zeit stimmt nicht | NTP UDP 123 blockiert oder Server falsch | | SNMP liefert keine Werte | Community, Rechte, UDP 161, Firewall | | VoIP abgehackt | Paketverlust, Jitter, Latenz | Merksatz: UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen. --- **TCP und UDP vergleichen** | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Aufbau | Three-Way Handshake | kein Verbindungsaufbau | | Zuverlässigkeit | eingebaut | nicht eingebaut | | Reihenfolge | wird gesichert | nicht garantiert | | Overhead | höher | geringer | | Geschwindigkeit | eher langsamer | eher schneller | | Beispiele | HTTPS, SSH, SMTP | DNS, DHCP, VoIP | Merksatz: TCP = zuverlässig. UDP = wenig Overhead. --- **Wann TCP?** TCP eignet sich, wenn Daten vollständig und korrekt ankommen müssen. Beispiele: Webseite laden Datei übertragen E-Mail senden Remotezugriff Datenbankverbindung Dateifreigabe Merksatz: TCP für vollständige und zuverlässige Übertragung. --- **Wann UDP?** UDP eignet sich, wenn Geschwindigkeit, geringe Verzögerung oder einfache Anfrage-Antwort-Kommunikation wichtig ist. Beispiele: DNS DHCP VoIP Livestreaming Online-Gaming Zeitabgleich Merksatz: UDP für schnelle und zeitkritische Kommunikation. --- **ICMP kurz erklärt** ICMP steht für: Internet Control Message Protocol Aufgabe: Kontroll- Fehler- und Diagnosemeldungen im IP-Netz Typische Nutzung: ping traceroute Fehlermeldungen bei nicht erreichbaren Zielen Merksatz: ICMP transportiert keine Anwendungsdaten, sondern Kontrollinformationen. --- **ICMP und OSI-Schicht** ICMP gehört zur Netzwerkschicht. OSI-Schicht: Schicht 3 Grund: ICMP arbeitet mit IP und meldet Probleme bei IP-Kommunikation. Merksatz: ICMP gehört zu Schicht 3. --- **ping** ping nutzt ICMP Echo Request und Echo Reply. Aufgabe: Erreichbarkeit eines Ziels testen Wichtig: Ping prüft nicht, ob ein bestimmter TCP- oder UDP-Dienst funktioniert. Beispiel: Ping funktioniert, aber HTTPS auf TCP 443 ist blockiert. Merksatz: ping prüft ICMP-Erreichbarkeit, nicht den Anwendungsdienst. --- **traceroute und tracert** traceroute oder tracert zeigen den Weg zum Ziel über Router. Nutzung: Pfad prüfen Routingprobleme eingrenzen Paketlaufzeit grob erkennen Hops sichtbar machen Wichtig: Nicht jeder Router antwortet auf ICMP oder Traceroute. Sternchen bedeuten nicht automatisch, dass der gesamte Weg defekt ist. Merksatz: traceroute zeigt den Weg, aber Ausgaben müssen interpretiert werden. --- **ICMP-Fehlerbilder** | Fehlerbild | Mögliche Bedeutung | |---|---| | ping erfolgreich | Ziel antwortet auf ICMP | | ping fehlgeschlagen | Ziel offline, ICMP blockiert, Routingproblem | | hohe Antwortzeit | Latenz, Last oder lange Strecke | | Paketverlust | Netzproblem, Überlastung oder Funkproblem | | traceroute bricht ab | Firewall, Routing, ICMP-Filter | | einzelne Hops antworten nicht | Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren | Merksatz: Kein ping bedeutet nicht automatisch: Ziel ist offline. --- **ICMP und Firewall** ICMP kann in Firewalls erlaubt oder blockiert werden. Vorteil von ICMP erlauben: bessere Diagnose einfachere Fehlersuche Grund für Einschränkung: weniger Informationspreisgabe Schutz gegen bestimmte Missbrauchsarten Sicherheitsrichtlinie Merksatz: ICMP blockieren kann Fehlersuche erschweren. --- **ARP kurz erklärt** ARP steht für: Address Resolution Protocol Aufgabe: IPv4-Adresse in MAC-Adresse auflösen Einsatzbereich: lokales Netzwerksegment Beispiel: Ein Client möchte das Gateway 192.168.1.1 erreichen. Dafür braucht er die MAC-Adresse des Gateways. Diese ermittelt er mit ARP. Merksatz: ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz. --- **Warum ARP nötig ist** IP-Adressen werden für logische Kommunikation genutzt. Ethernet im lokalen Netz braucht aber MAC-Adressen. Deshalb muss ein Host wissen: Welche MAC-Adresse gehört zur Ziel-IP? Für Ziele außerhalb des eigenen Netzes gilt: Der Client ermittelt per ARP die MAC-Adresse des Gateways, nicht die MAC-Adresse des entfernten Zielservers. Merksatz: Für entfernte Ziele wird lokal die MAC des Gateways benötigt. --- **ARP-Ablauf** Typischer Ablauf: 1. Host prüft: Liegt Ziel im eigenen Subnetz? 2. Wenn Ziel lokal ist: ARP fragt nach MAC-Adresse des Zielhosts. 3. Wenn Ziel extern ist: ARP fragt nach MAC-Adresse des Gateways. 4. Antwort wird in ARP-Tabelle gespeichert. Merksatz: ARP arbeitet nur im lokalen Netz. --- **ARP Request und ARP Reply** ARP Request: Frage per Broadcast: Wer hat diese IP-Adresse? ARP Reply: Antwort per Unicast: Diese IP-Adresse gehört zu dieser MAC-Adresse. Merksatz: ARP Request ist Broadcast. ARP Reply ist Antwort mit MAC-Adresse. --- **ARP-Tabelle** Die ARP-Tabelle speichert bekannte Zuordnungen. Beispiel: IPv4-Adresse zu MAC-Adresse Vorteil: nicht bei jedem Paket neu fragen Problem: falsche oder alte Einträge können Fehler verursachen. Merksatz: ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC. --- **ARP und Gateway** Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways. Wichtig: IP-Ziel bleibt der entfernte Host. MAC-Ziel ist lokal das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. --- **ARP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | lokaler Host nicht erreichbar | ARP, VLAN, Switch, Firewall, Ziel aus | | Gateway nicht erreichbar | falsches Gateway, ARP, VLAN, Router aus | | doppelte IP-Adresse | ARP springt zwischen MAC-Adressen | | falsche MAC-Zuordnung | ARP-Spoofing oder Cache-Problem | | nur lokales Netz betroffen | Schicht 2 oder ARP prüfen | Merksatz: ARP-Probleme betreffen lokale IPv4-Kommunikation. --- **ARP-Spoofing** ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung höherer Schichten Monitoring Merksatz: ARP vertraut lokalen Antworten und kann missbraucht werden. --- **TCP, UDP, ICMP und ARP gemeinsam einordnen** | Frage | Wahrscheinliches Thema | |---|---| | Ist der Dienst über Port erreichbar? | TCP oder UDP | | Funktioniert Namensauflösung? | DNS über UDP/TCP 53 | | Funktioniert IP-Erreichbarkeit grob? | ICMP | | Wie kommt IPv4 zur MAC-Adresse? | ARP | | Warum geht ping, aber Webseite nicht? | ICMP geht, TCP 80/443 prüfen | | Warum geht lokale Kommunikation nicht? | ARP, VLAN, Switch, IP | | Warum geht Gateway nicht? | ARP, Gateway-IP, VLAN, Router | Merksatz: Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen. --- **Beispiel: Ping funktioniert, HTTPS nicht** Fehlerbild: ping zum Server funktioniert. Webseite über HTTPS funktioniert nicht. Bedeutung: ICMP-Erreichbarkeit ist vorhanden. Mögliche Ursachen: TCP 443 blockiert Webserver läuft nicht Zertifikatsproblem Reverse Proxy fehlerhaft Anwendung fehlerhaft Firewall-Regel fehlt Merksatz: ping erfolgreich heißt nicht, dass HTTPS funktioniert. --- **Beispiel: DNS funktioniert nicht** Fehlerbild: Name wird nicht aufgelöst. Mögliche Protokolle: DNS über UDP 53 DNS über TCP 53 Mögliche Ursachen: DNS-Server falsch DNS-Server nicht erreichbar Port 53 blockiert falscher DNS-Eintrag DNS-Cache Split-DNS Merksatz: DNS-Probleme sind meist Schicht 7, nutzen aber TCP oder UDP auf Schicht 4. --- **Beispiel: DHCP funktioniert nicht** Fehlerbild: Client erhält 169.254.x.x. Beteiligte Protokolle: DHCP über UDP 67 und 68 Mögliche Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Relay fehlt Scope erschöpft Firewall blockiert Netzwerkverbindung fehlerhaft Merksatz: DHCP-Fehler können durch Schicht 1, 2, 3 oder 7 verursacht werden. --- **Beispiel: lokales Ziel nicht erreichbar** Fehlerbild: Client und Server sollen im gleichen Subnetz sein, erreichen sich aber nicht. Mögliche Prüfungen: IP-Adresse Subnetzmaske VLAN Switchport ARP-Tabelle lokale Firewall doppelte IP-Adresse Merksatz: Im gleichen Subnetz sind ARP, VLAN und lokale Firewall besonders wichtig. --- **Beispiel: externes Ziel nicht erreichbar** Fehlerbild: Ziel liegt außerhalb des eigenen Subnetzes. Beteiligte Schritte: Client prüft Zielnetz. Client sendet an Gateway. ARP ermittelt MAC-Adresse des Gateways. Router leitet IP-Paket weiter. NAT oder Firewall können beteiligt sein. Merksatz: Externe Kommunikation braucht Gateway und Routing. --- **Typische Werkzeuge** | Werkzeug | Hilft bei | |---|---| | ping | ICMP-Erreichbarkeit | | traceroute / tracert | Weg über Router | | arp | ARP-Tabelle anzeigen | | ip neigh | Nachbartabelle unter Linux | | ipconfig /all | IP-Konfiguration Windows | | ip addr | IP-Konfiguration Linux | | netstat | Verbindungen und Ports | | ss | Sockets und Ports unter Linux | | nslookup | DNS prüfen | | dig | DNS detailliert prüfen | | tcpdump | Pakete mitschneiden | | Wireshark | Pakete grafisch analysieren | Merksatz: Werkzeug passend zur vermuteten Schicht wählen. --- **Prüfungsfalle: ping falsch interpretieren** Ping kann fehlschlagen, obwohl der Dienst erreichbar ist. Mögliche Gründe: ICMP blockiert Ziel antwortet nicht auf ping Firewall filtert ICMP Ping kann funktionieren, obwohl der Dienst nicht erreichbar ist. Mögliche Gründe: TCP-Port blockiert Anwendung läuft nicht TLS-Problem Rechteproblem Merksatz: ping ist Diagnose, aber kein vollständiger Funktionstest. --- **Prüfungsfalle: ARP nur im lokalen Netz** ARP funktioniert nicht über Router hinweg. Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht, sondern die MAC-Adresse des Gateways. Merksatz: ARP kennt nur lokale Nachbarn. --- **Prüfungsfalle: TCP und UDP nicht vermischen** TCP 53 und UDP 53 sind unterschiedliche Regeln. TCP 443 und UDP 443 sind nicht automatisch dasselbe. Eine Firewall-Regel muss das richtige Transportprotokoll erlauben. Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. --- **Prüfungsfalle: UDP ist nicht automatisch unsicher** UDP hat keine eingebaute Zustellgarantie. Das bedeutet aber nicht automatisch, dass UDP „schlecht“ oder „unsicher“ ist. Es ist für bestimmte Anwendungen sinnvoll, zum Beispiel DNS, DHCP, VoIP oder NTP. Merksatz: UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist TCP? - Was ist UDP? - Vergleichen Sie TCP und UDP. - Was ist der TCP Three-Way Handshake? - Warum nutzt DNS häufig UDP? - Warum eignet sich UDP für VoIP? - Was macht ICMP? - Wofür wird ping verwendet? - Warum ersetzt ping keinen Diensttest? - Was zeigt traceroute? - Was macht ARP? - Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt? - Was ist ARP-Spoofing? - Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? --- **IHK-sichere Kurzformulierung** TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt. --- **Merksätze** TCP ist zuverlässig. TCP ist verbindungsorientiert. TCP nutzt Ports. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schnell und schlank. UDP hat keine eingebaute Zustellgarantie. UDP nutzt ebenfalls Ports. TCP und UDP gehören zu Schicht 4. ICMP gehört zu Schicht 3. ICMP dient Diagnose und Fehlermeldungen. ping nutzt ICMP. ping ist kein vollständiger Diensttest. traceroute zeigt den Weg über Router. Nicht jeder Hop muss antworten. ARP löst IPv4 zu MAC auf. ARP arbeitet lokal. ARP Request ist Broadcast. ARP Reply liefert die MAC-Adresse. ARP-Tabelle speichert Zuordnungen. Für externe Ziele wird die MAC des Gateways genutzt. IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. ARP-Spoofing kann Verkehr umleiten. TCP 53 und UDP 53 getrennt beachten. Portnummer immer mit TCP oder UDP nennen. Host erreichbar heißt nicht Dienst erreichbar. ICMP blockiert heißt nicht automatisch Ziel offline. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut.