20.13 Trainer – Gemischte Fehlersuche nach dem OSI-Modell

Zuerst betroffen ist:

OSI-Schicht 1

Begründung:

Keine Link-LED deutet auf ein physisches Problem hin.

Prüfen:

Kabel

Stecker

Netzwerkdose

Switchport

Netzwerkkarte

Gegenstelle

Merksatz:

Kein Link:
Schicht 1 prüfen.

Wahrscheinlich:

DHCP-Problem

Begründung:

169.254.x.x ist eine APIPA-Adresse.
Der Client hat wahrscheinlich keine gültige IP-Adresse vom DHCP-Server erhalten.

Prüfen:

DHCP-Server

VLAN

DHCP-Scope

DHCP-Relay

Netzwerkverbindung

Merksatz:

169.254.x.x:
DHCP nicht erreicht.

Wahrscheinlich:

Gateway,
Routing,
NAT
oder Firewall

Erste Prüfung:

Standardgateway

Begründung:

Lokale Kommunikation funktioniert.
Der Fehler liegt wahrscheinlich beim Weg in andere Netze.

Merksatz:

Lokal ja,
extern nein:
Gateway prüfen.

Wahrscheinlich:

DNS-Problem

Begründung:

Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.

Prüfen:

DNS-Server

DNS-Eintrag

DNS-Cache

DNS-Suffix

Split-DNS

Merksatz:

IP ja,
Name nein:
DNS.

Ping prüft ICMP. SSH nutzt TCP 22.

Mögliche Ursachen:

TCP 22 blockiert

SSH-Dienst läuft nicht

SSH lauscht auf anderem Port

lokale Firewall blockiert

Netzwerkfirewall blockiert

Benutzer oder Schlüssel falsch

Merksatz:

ping geht,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.

Prüfen:

TCP 443 erreichbar?

Webserver läuft?

Dienst lauscht auf Port 443?

Firewall erlaubt TCP 443?

Reverse Proxy korrekt?

TLS-Zertifikat korrekt?

Anwendung läuft?

Merksatz:

ping ist kein HTTPS-Test.

HTTP 404 bedeutet:

nicht gefunden

Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist dort nicht erreichbar.

Prüfen:

URL

Pfad

Routing der Webanwendung

Webserver-Konfiguration

Reverse Proxy

Merksatz:

404 = Ressource nicht gefunden.

HTTP 500 bedeutet:

interner Serverfehler

Das Problem liegt eher auf Serverseite.

Prüfen:

Anwendungslogs

Webserverlogs

Backend

Datenbank

Konfiguration

Berechtigungen

Merksatz:

500 = Server,
Anwendung
oder Backend prüfen.

HTTP 502 bedeutet:

Bad Gateway

Typisch bei:

Reverse Proxy

Load Balancer

Gateway

Mögliche Ursachen:

Backend nicht erreichbar

Backend-Port falsch

Backend-Dienst läuft nicht

DNS intern falsch

Proxy-Konfiguration falsch

Merksatz:

502:
Proxy oder Gateway erreicht Backend nicht korrekt.

Wahrscheinlich:

Autorisierungs- oder Berechtigungsproblem

Begründung:

Die Anmeldung funktioniert.
Der Zugriff auf die Ressource ist aber nicht erlaubt.

Prüfen:

Gruppenmitgliedschaft

ACLs

Freigaberechte

Dateisystemrechte

Rollen

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

Wahrscheinlich:

Authentifizierungsproblem

Mögliche Ursachen:

falsches Passwort

Konto gesperrt

MFA-Problem

Verzeichnisdienst nicht erreichbar

Zertifikat abgelaufen

Zeitproblem

Merksatz:

Anmeldung scheitert:
Authentifizierung prüfen.

Wahrscheinlich:

falsches VLAN

Begründung:

Wenn ein Client im falschen VLAN landet,
erhält er eventuell eine Adresse aus dem falschen DHCP-Scope.

Prüfen:

Access-VLAN am Switchport

Trunk-Konfiguration

DHCP-Scope

Dokumentation

Merksatz:

Falsches Netz:
VLAN prüfen.

Prüfen:

Trunk-Port aktiv?

VLANs erlaubt?

VLANs auf beiden Switches vorhanden?

802.1Q-Tagging korrekt?

Native VLAN passend?

Gegenstelle korrekt konfiguriert?

Merksatz:

Mehrere VLANs betroffen:
Trunk prüfen.

Mögliche Ursachen:

Patchkabel defekt

Netzwerkdose defekt

Switchport deaktiviert

falsches Access-VLAN

Netzwerkkarte deaktiviert

Port Security blockiert

Client-Konfiguration falsch

Merksatz:

Nur ein Gerät betroffen:
lokal am Gerät,
Kabel
oder Port suchen.

Wahrscheinlicher sind zentrale Ursachen:

Gateway des VLANs

Firewall-Regel

Routing

NAT

DHCP-Konfiguration

VLAN-Trunk

DNS,
falls nur Namen betroffen sind

Merksatz:

Viele Geräte betroffen:
zentrale Komponente prüfen.

Wahrscheinlich:

DNS-Problem

Begründung:

Der Weg ins Internet funktioniert.
Nur die Namensauflösung funktioniert nicht.

Prüfen:

DNS-Server

DNS-Erreichbarkeit

DNS-Einträge

DNS-Cache

Merksatz:

Externe IP ja,
Domain nein:
DNS.

Prüfen:

öffentliche IP

DNS

Portweiterleitung

Router-Firewall

lokale Firewall

Dienststatus

Dienstport

doppeltes NAT

CGNAT

Provider-Portblockade

Merksatz:

Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.

Mögliche Ursachen:

Hairpin NAT fehlt

Split-DNS fehlt

interne DNS-Auflösung falsch

Firewall-Regel für internen Zugriff fehlt

Merksatz:

Externe Domain intern:
Hairpin NAT oder Split-DNS prüfen.

Wahrscheinlich:

VPN-DNS-Problem

Prüfen:

interner DNS-Server gesetzt?

DNS-Server über VPN erreichbar?

DNS-Suffix vorhanden?

Split-DNS korrekt?

DNS-Cache veraltet?

Merksatz:

VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.

Mögliche Ursachen:

VPN-Route fehlt

Zielnetz nicht erlaubt

Firewall blockiert

Rückroute fehlt

IP-Adresskonflikt

Berechtigung fehlt

Merksatz:

VPN verbunden heißt nicht automatisch:
Routen und Regeln stimmen.

Problem:

Der Client kann nicht eindeutig entscheiden,
ob 192.168.1.x lokal
oder über VPN erreichbar sein soll.

Folge:

Routingprobleme

interne Dienste nicht erreichbar

Merksatz:

Gleiche Netze lokal und remote verursachen VPN-Probleme.

Typisches Fehlerbild:

Browser oder Client zeigt Zertifikatswarnung.

Mögliche Folgen:

HTTPS-Verbindung wird blockiert

Benutzer erhält Sicherheitswarnung

API-Clients lehnen Verbindung ab

Prüfen:

Ablaufdatum

Hostname

Zertifikatskette

Systemzeit

Merksatz:

Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.

Ursache:

Der aufgerufene Name steht nicht passend im Zertifikat.

Prüfen:

Common Name

Subject Alternative Name

verwendete Domain

Reverse Proxy

falsches Zertifikat

Merksatz:

Zertifikat muss zum aufgerufenen Namen passen.

Prüfen:

Abhängigkeiten

Datenbank erreichbar?

Rechte korrekt?

Konfiguration vorhanden?

Zertifikate vorhanden?

DNS korrekt?

Ports frei?

Logs auswerten

Restore-Reihenfolge eingehalten?

Merksatz:

Restore braucht Abhängigkeiten und Reihenfolge.

Prüfen:

Änderungsprotokoll

Konfigurationsänderungen

Dienststatus

Logs

Ports

Abhängigkeiten

Berechtigungen

Kompatibilität

Rollback-Möglichkeit

Merksatz:

Nach Änderung:
Change,
Logs
und Rollback prüfen.

Wahrscheinlich:

Restore-Test

Weitere mögliche Ursachen:

Backup beschädigt

Schlüssel fehlt

Rechte fehlen

Datenbank nicht konsistent gesichert

Backup-Kette unvollständig

Dokumentation fehlt

Merksatz:

Backup ohne Restore-Test ist unsicher.

Prüfen:

CPU-Auslastung

RAM

Festplatten-I/O

Speicherplatz

Netzwerkfehler

Paketverluste

Latenz

Logs

laufende Prozesse

Datenbanklast

Merksatz:

Langsamkeit braucht Messwerte,
nicht nur Vermutung.

127.0.0.1 ist localhost.

Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar, nicht von anderen Systemen.

Prüfen:

Bind-Adresse

Dienstkonfiguration

Firewall

Merksatz:

127.0.0.1 heißt:
nur lokal erreichbar.

0.0.0.0 bedeutet bei einem lauschenden Dienst:

Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.

Wichtig:

Ob er wirklich erreichbar ist,
hängt zusätzlich von Firewall,
Routing
und Netzwerk ab.

Merksatz:

0.0.0.0 heißt:
alle IPv4-Interfaces.

Mögliche Ursachen:

Dienst lauscht nur auf localhost

lokale Firewall blockiert

Netzwerkfirewall blockiert

falscher Port

falsches Protokoll TCP/UDP

NAT-Regel fehlt

Routingproblem

Ziel-IP falsch

Merksatz:

Dienst läuft heißt nicht automatisch:
Dienst ist von außen erreichbar.

Wahrscheinlich:

DNS-Cache oder TTL

Prüfen:

Client-DNS-Cache

DNS-Server-Cache

TTL des Eintrags

welcher DNS-Server gefragt wird

Merksatz:

DNS-Änderungen wirken nicht immer sofort.

Prüfen:

DHCP-Scope für dieses VLAN

DHCP-Relay

Gateway im VLAN

VLAN-Trunk

Firewall-Regeln

DHCP-Server erreichbar?

Merksatz:

DHCP pro VLAN braucht passenden Scope und Weg zum Server.

Folgen:

Namen werden nicht aufgelöst

Webseiten per Domain funktionieren nicht

interne Dienste per Name funktionieren nicht

Anmeldung oder Dienste können verzögert sein

Anwendungen finden Backend-Systeme nicht

Merksatz:

Ohne DNS funktionieren viele Dienste scheinbar nicht,
obwohl IP-Kommunikation möglich sein kann.

Sinnvoll prüfen:

Betrifft es nur eine Webseite oder alle?

Geht Zugriff per IP?

Geht DNS-Auflösung?

IP-Adresse korrekt?

Gateway erreichbar?

andere Clients betroffen?

WLAN oder Kabel?

Proxy oder VPN aktiv?

Firewall oder Filter?

Merksatz:

„Internet geht nicht“ erst in konkrete Symptome zerlegen.

Sinnvoll prüfen:

Welcher Server?

per Name oder IP?

ping erreichbar?

Port erreichbar?

Dienst läuft?

nur ein Benutzer betroffen?

Rechteproblem?

DNS korrekt?

Firewall-Regel geändert?

Logs vorhanden?

Merksatz:

Server nicht erreichbar kann DNS,
Routing,
Port,
Dienst
oder Rechte bedeuten.

Merksatz:

Fehlerbild zuerst genau einordnen.

B ist besser.

Begründung:

Die Antwort leitet die Ursache aus dem Fehlerbild ab
und nennt DNS als konkrete Prüfung.

Merksatz:

Ursache aus Symptom ableiten.

B ist besser.

Begründung:

Die Antwort trennt Host-Erreichbarkeit von Dienst-Erreichbarkeit
und nennt konkrete Prüfungen.

Merksatz:

ping ist kein Porttest.

B ist besser.

Begründung:

Die Antwort ist systematisch
und berücksichtigt Change Management.

Merksatz:

Nach Änderung:
gezielt prüfen,
nicht blind neu installieren.

B ist besser.

Begründung:

Die Antwort erklärt den Nutzen:
Eingrenzung,
Messbarkeit
und Vermeidung unnötiger Änderungen.

Merksatz:

Fehlersuche braucht Struktur.