20.14 Trainer – Gemischte Prüfungsaufgaben AP1/AP2 Netzwerktechnik

Das Gateway ist falsch.

Begründung:

Der Client liegt im Netz:

192.168.10.0/24

Das Gateway liegt im Netz:

192.168.20.0/24

Das Standardgateway muss im lokalen Subnetz des Clients liegen.

IHK-sichere Antwort:

Das Gateway befindet sich nicht im gleichen Subnetz wie der Client.
Dadurch kann der Client das Gateway lokal nicht erreichen
und keine Pakete in andere Netze senden.

Das ist eine APIPA-Adresse.

Bedeutung:

Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten.

Mögliche Ursachen:

DHCP-Server nicht erreichbar

falsches VLAN

DHCP-Scope erschöpft

DHCP-Relay fehlt

Netzwerkverbindung fehlerhaft

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

Wahrscheinlich betroffen:

DNS

Begründung:

Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.

IHK-sichere Antwort:

Da der Zugriff per IP-Adresse funktioniert,
aber der Name nicht aufgelöst wird,
sollte die DNS-Konfiguration geprüft werden.

Mögliche Ursachen:

TCP 443 wird durch eine Firewall blockiert

Webserver-Dienst läuft nicht

Dienst lauscht nicht auf TCP 443

TLS-Zertifikat fehlerhaft

Reverse Proxy falsch konfiguriert

Anwendung fehlerhaft

Merksatz:

ping prüft ICMP,
nicht HTTPS.

Mögliche Folgen:

Client landet im falschen Netz

Client erhält falsche DHCP-Adresse

lokale Dienste sind nicht erreichbar

Gateway passt nicht

Sicherheitszonen werden umgangen

IHK-sichere Antwort:

Der Client wird logisch dem falschen Layer-2-Netz zugeordnet.
Dadurch kann er eine falsche IP-Konfiguration erhalten
oder nicht mit den vorgesehenen Systemen kommunizieren.

VLAN:

logische Trennung auf OSI-Schicht 2

Subnetz:

logische IP-Aufteilung auf OSI-Schicht 3

Wichtig:

In der Praxis bekommt ein VLAN oft ein eigenes Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.

Merksatz:

VLAN = Layer 2.
Subnetz = Layer 3.

VLANs sind getrennte Layer-2-Bereiche.

Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, muss Verkehr zwischen den jeweiligen IP-Netzen geroutet werden.

Möglich über:

Router

Layer-3-Switch

Firewall

Merksatz:

VLANs trennen.
Routing verbindet gezielt.

Verwendet wird:

die MAC-Adresse des Standardgateways

Begründung:

Das IP-Ziel bleibt der entfernte Zielhost.
Lokal wird das Frame aber an den nächsten Hop gesendet,
also an das Gateway.

Merksatz:

IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.

ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.

Beispiel:

Der Client kennt die IP-Adresse des Gateways,
braucht aber die MAC-Adresse,
um ein Ethernet-Frame senden zu können.

Merksatz:

ARP findet MAC-Adressen im lokalen IPv4-Netz.

Bei /25 gilt:

Blockgröße 128

Bereiche:

192.168.5.0 bis 192.168.5.127

192.168.5.128 bis 192.168.5.255

192.168.5.130 liegt im zweiten Bereich.

Bei /26 gilt:

Blockgröße 64

Bereiche:

0 bis 63

64 bis 127

128 bis 191

192 bis 255

77 liegt im Bereich 64 bis 127.

Benötigt:

mindestens 60 nutzbare Hosts

Prüfung:

/27 = 30 nutzbare Hosts

/26 = 62 nutzbare Hosts

Antwort:

/26

Begründung:

/26 ist das kleinste der genannten passenden Netze,
weil es 62 nutzbare Hostadressen bietet.

Prüfung:

/26 = 62 nutzbare Hosts

/25 = 126 nutzbare Hosts

Antwort:

/25

Merksatz:

Bedarf prüfen,
dann kleinstes passendes Netz wählen.

Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.

Sie adressiert alle Hosts in diesem Subnetz und wird daher nicht einem einzelnen Host zugewiesen.

Merksatz:

Erste Adresse = Netz.
Letzte Adresse = Broadcast.

TCP:

verbindungsorientiert

zuverlässig

bestätigt Daten

stellt Reihenfolge sicher

UDP:

verbindungslos

schlank

schnell

keine eingebaute Zustellgarantie

Merksatz:

TCP = zuverlässig.
UDP = schnell und schlank.

Merksatz:

Portnummer immer mit TCP oder UDP lernen.

Die Aussage ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist.

DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden.

IHK-sichere Antwort:

Bei Firewall-Regeln müssen Port und Transportprotokoll angegeben werden,
da TCP und UDP getrennte Protokolle sind.

LISTEN bedeutet:

Ein Dienst wartet auf eingehende Verbindungen.

Beispiel:

Ein Webserver lauscht auf TCP 443.

Merksatz:

LISTEN = Dienst wartet.

ESTABLISHED bedeutet:

Eine TCP-Verbindung besteht.

Merksatz:

ESTABLISHED = Verbindung aktiv.

NAT:

übersetzt IP-Adressen

Firewall:

erlaubt oder blockiert Verkehr anhand von Regeln

Wichtig:

Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie aber unterschiedlich.

Merksatz:

NAT übersetzt.
Firewall filtert.

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um mehrere interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.

Merksatz:

PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.

Portweiterleitung bedeutet:

Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.

Beispiel:

öffentliche IP TCP 443

zu

interner Webserver 192.168.10.20 TCP 443

Merksatz:

Portweiterleitung veröffentlicht einen internen Dienst.

Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel.

Risiken:

große Angriffsfläche

schlechte Nachvollziehbarkeit

Sicherheitszonen werden umgangen

unnötige Freigaben

Besser:

genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Merksatz:

Je genauer die Regel,
desto sicherer und nachvollziehbarer.

Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen.

Beispiele:

Webserver

Reverse Proxy

Mail-Gateway

VPN-Gateway

Ziel:

öffentliche Dienste vom internen Netz trennen.

Merksatz:

DMZ begrenzt Schaden bei öffentlichen Diensten.

Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

Besser:

Zugriff nur vom Anwendungsserver

Firewall-Beschränkung

privates Netz oder DMZ-Konzept

starke Authentifizierung

Monitoring

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Remote-Access-VPN:

einzelner Benutzer verbindet sich ins Firmennetz

Site-to-Site-VPN:

zwei Netze oder Standorte werden verbunden

Merksatz:

Remote Access = Benutzer.
Site-to-Site = Standort oder Netz.

Wahrscheinlich:

VPN-DNS-Problem

Prüfen:

interner DNS-Server

DNS-Suffix

Split-DNS

Erreichbarkeit des DNS-Servers

DNS-Cache

Merksatz:

VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.

Mögliche Ursachen:

VPN-Route fehlt

Zielnetz nicht erlaubt

Firewall blockiert

Rückroute fehlt

IP-Adresskonflikt

Benutzergruppe hat keine Berechtigung

Merksatz:

VPN verbunden heißt nicht automatisch:
Routing und Regeln stimmen.

Shared Responsibility bedeutet:

Cloud-Anbieter und Kunde teilen sich die Verantwortung.

Anbieter:

schützt Infrastruktur,
Rechenzentrum
und Plattform je nach Modell.

Kunde:

bleibt verantwortlich für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen je nach Modell.

Merksatz:

Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.

Merksatz:

IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.

Hybrid Cloud:

Kombination aus lokaler oder privater IT und Public Cloud

Multi Cloud:

Nutzung mehrerer Cloud-Anbieter

Merksatz:

Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.

Cloud-Ressourcen sind oft schnell erreichbar, skalierbar und über Netzwerke zugänglich.

Fehlerhafte Rechte können führen zu:

Datenabfluss

unberechtigtem Zugriff

Manipulation

Kostenexplosion

Löschung von Ressourcen

Merksatz:

In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.

Merksatz:

Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.

Brute Force:

viele Passwortversuche

Password Spraying:

ein häufiges Passwort gegen viele Konten

Credential Stuffing:

geleakte Zugangsdaten werden bei anderen Diensten getestet

Merksatz:

Brute Force = viele Versuche.
Spraying = ein Passwort gegen viele Konten.
Stuffing = geleakte Zugangsdaten.

Merksatz:

SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.

Merksatz:

Maßnahme muss zum Risiko passen.

IDS:

erkennt und meldet Angriffe

IPS:

erkennt und blockiert Angriffe zusätzlich

Merksatz:

IDS meldet.
IPS blockiert.

Backup:

sichert Daten zur Wiederherstellung alter Zustände

Replikation:

erzeugt eine möglichst aktuelle Kopie auf anderem System

Synchronisation:

gleicht Daten zwischen Speicherorten ab

Wichtig:

Replikation und Synchronisation ersetzen kein Backup,
weil Fehler,
Löschungen
oder Ransomware mit übertragen werden können.

Merksatz:

Backup stellt wieder her.
Replikation hält aktuell.
Synchronisation gleicht ab.

RPO:

Recovery Point Objective

maximal akzeptabler Datenverlust

RTO:

Recovery Time Objective

maximal akzeptable Wiederherstellungszeit

Merksatz:

RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.

Ein Restore-Test prüft, ob Backups wirklich wiederherstellbar sind.

Ohne Restore-Test ist unklar:

ob Daten vollständig sind

ob Daten lesbar sind

ob Schlüssel vorhanden sind

ob Rechte stimmen

ob die Wiederherstellungszeit passt

Merksatz:

Backup ohne Restore-Test ist unsicher.

B ist besser.

Begründung:

Die Antwort trennt Authentifizierung und Autorisierung.

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

B ist besser.

Begründung:

Die Antwort erklärt die konkrete Schutzwirkung.

Merksatz:

Maßnahme mit Wirkung erklären.

B ist besser.

Begründung:

Die Antwort nennt die fachliche Ursache
und Anforderungen an ein Backup.

Merksatz:

Fachbegriff plus Begründung.

B ist besser.

Begründung:

Die Antwort nennt Risiko,
Folgen
und bessere Maßnahme.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

B ist besser.

Begründung:

Die Antwort erklärt den Nutzen der systematischen Vorgehensweise.

Merksatz:

Nicht raten,
sondern eingrenzen.