20.15 Trainer – Abschlussprüfung Netzwerktechnik Gesamtwiederholung

Diese Seite ist die Abschlussseite des Netzwerktechnik-Trainers.

Sie dient als letzte Gesamtwiederholung vor einer Klassenarbeit, AP1, AP2 oder vor dem Eintragen eigener Lernnotizen.

Ziel ist, alle Kernbereiche noch einmal kompakt, prüfungsnah und mit typischen Antwortmustern zu wiederholen.

Merksatz:

Am Ende zählt nicht,
ob man Begriffe kennt,
sondern ob man sie im Fehlerbild richtig anwendet.

Lernziele

Nach dieser Abschlussseite solltest du sicher können:

- Netzwerkprobleme nach OSI-Schichten einordnen
- Standardbegriffe kurz erklären
- typische Fehlerbilder erkennen
- passende Prüfungen nennen
- Sicherheitsrisiken bewerten
- technische Maßnahmen begründen
- kurze prüfungssichere Antworten formulieren

Abschluss-Checkliste: OSI-Modell

Merksatz:

1 Kabel.
2 MAC.
3 IP.
4 Port.
5 Sitzung.
6 TLS.
7 Anwendung.

Abschluss-Checkliste: Fehlerbilder

Abschluss-Checkliste: Standardports

Merksatz:

Portnummer immer mit TCP oder UDP lernen.

Abschluss-Checkliste: IPv4 und Subnetting

Merksätze:

Hostbits = 32 minus Präfix.

Nutzbare Hosts = 2 hoch Hostbits minus 2.

Netzadresse = erste Adresse.

Broadcastadresse = letzte Adresse.

Erste und letzte Adresse sind im normalen IPv4-Subnetz nicht für Hosts.

Abschluss-Checkliste: private IPv4-Bereiche

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

Abschluss-Checkliste: Begriffe kurz erklären

Abschluss-Checkliste: Sicherheit

Merksatz:

Risiko,
Maßnahme,
Wirkung.

Abschluss-Checkliste: Backup

Merksatz:

Backup ohne Restore-Test ist unsicher.

Prüfungssimulation 1

Ein Client meldet:

„Ich komme nicht ins Internet.“

Du stellst fest:

- IP-Adresse ist 192.168.10.55/24
- Gateway ist 192.168.10.1
- Ping auf 192.168.10.1 funktioniert
- Ping auf 8.8.8.8 funktioniert
- Aufruf von Webseiten per Domain funktioniert nicht

Was ist wahrscheinlich?

DNS-Problem

Gateway und externe IP-Adresse sind erreichbar.
Der Weg ins Internet funktioniert also grundsätzlich.
Wenn nur Domains nicht funktionieren,
ist die Namensauflösung wahrscheinlich gestört.

Da externe IP-Adressen erreichbar sind,
aber Domainnamen nicht funktionieren,
sollte die DNS-Konfiguration geprüft werden,
insbesondere DNS-Server,
DNS-Erreichbarkeit
und DNS-Cache.

Prüfungssimulation 2

Ein Client meldet:

„Ich bekomme keine Netzwerkverbindung.“

Du stellst fest:

- keine Link-LED
- keine IP-Adresse
- andere Clients am Switch funktionieren

Was prüfst du zuerst?

Schicht 1

Kabel

Stecker

Netzwerkdose

Switchport

Netzwerkkarte

anderes Patchkabel

anderen Port

Keine Link-LED deutet zuerst auf ein physisches Problem hin.

Zuerst wird die physische Verbindung geprüft,
weil ohne Link keine höhere Netzwerkschicht zuverlässig funktionieren kann.

Prüfungssimulation 3

Ein Benutzer kann sich anmelden, aber nicht auf eine Freigabe zugreifen.

Was ist wahrscheinlich?

Autorisierungs- oder Berechtigungsproblem

Die Authentifizierung funktioniert,
weil die Anmeldung erfolgreich ist.
Der Zugriff auf die Ressource wird aber verweigert.

Gruppenmitgliedschaft

Freigaberechte

Dateisystemrechte

ACLs

Rollen

Login ja,
Zugriff nein:
Rechte prüfen.

Prüfungssimulation 4

Ein Webserver ist per ping erreichbar, aber die Webseite öffnet nicht.

Was ist wichtig?

ping prüft nur ICMP.

TCP 80 oder TCP 443 erreichbar?

Webserver-Dienst läuft?

Dienst lauscht auf richtigem Port?

Firewall blockiert?

TLS-Zertifikat korrekt?

Reverse Proxy oder Anwendung fehlerhaft?

Die ICMP-Erreichbarkeit zeigt nur,
dass der Host erreichbar ist.
Für die Webseite müssen zusätzlich Port,
Dienst,
Firewall
und Anwendung geprüft werden.

Prüfungssimulation 5

Ein Server steht in der DMZ. Er soll aus dem Internet per HTTPS erreichbar sein und auf eine interne Datenbank zugreifen.

Welche Regeln sind sinnvoll?

Nur der benötigte HTTPS-Zugriff auf den Webserver wird aus dem Internet erlaubt.
Der Zugriff vom Webserver zur internen Datenbank wird gezielt auf den notwendigen Port beschränkt.
Direkter Zugriff aus dem Internet auf die Datenbank wird blockiert.

Prüfungssimulation 6

Ein VPN verbindet sich erfolgreich, aber interne Server sind nur per IP-Adresse erreichbar, nicht per Namen.

Was ist wahrscheinlich?

VPN-DNS-Problem

interner DNS-Server wird per VPN gesetzt?

DNS-Server ist über VPN erreichbar?

DNS-Suffix ist korrekt?

Split-DNS funktioniert?

DNS-Cache veraltet?

Da interne IP-Adressen erreichbar sind,
aber Namen nicht aufgelöst werden,
sollte die DNS-Konfiguration des VPN geprüft werden.

Prüfungssimulation 7

Ein Unternehmen nutzt Cloud-Speicher. Ein Benutzer teilt versehentlich einen Ordner öffentlich.

Welches Thema ist betroffen?

Vertraulichkeit

falsche Freigabe oder zu breite Berechtigung

Berechtigungen einschränken

Freigaben regelmäßig prüfen

Least Privilege

MFA

DLP

Audit-Logs

Sensibilisierung

Durch die öffentliche Freigabe können unberechtigte Personen Daten lesen.
Damit ist die Vertraulichkeit betroffen.
Die Freigabe sollte entfernt,
die Berechtigungen geprüft
und die Zugriffe protokolliert ausgewertet werden.

Prüfungssimulation 8

Ein Server wurde durch Ransomware verschlüsselt. Die Backups liegen dauerhaft erreichbar auf einer Netzfreigabe und wurden ebenfalls verschlüsselt.

Was war das Problem?

Backups waren dauerhaft online und beschreibbar erreichbar.

Offline-Backup

Immutable Backup

getrennte Backup-Rechte

MFA für Backup-Administration

Restore-Tests

Monitoring

Backups müssen gegen Manipulation und Verschlüsselung geschützt werden.
Offline- oder Immutable-Backups verhindern,
dass Ransomware alle Sicherungen gleichzeitig zerstört.

Prüfungssimulation 9

Ein Administrator soll erklären, warum ein Snapshot kein vollständiges Backup ersetzt.

Formuliere eine gute Antwort.

Ein Snapshot ist eine Momentaufnahme,
liegt aber häufig auf demselben System oder Speicher wie die Produktivdaten.
Bei Speicherdefekt,
Löschung,
Ransomware
oder beschädigter Snapshot-Kette kann er ebenfalls betroffen sein.
Ein Backup muss getrennt,
geschützt
wiederherstellbar
und regelmäßig getestet sein.

Snapshot ist hilfreich,
aber kein vollständiges Backup-Konzept.

Prüfungssimulation 10

Ein Cloud-Anbieter stellt eine SaaS-Anwendung bereit. Ein Kunde vergibt allen Benutzern Adminrechte.

Wer ist für dieses Problem verantwortlich?

der Kunde

Bei SaaS betreibt der Anbieter die Anwendung.
Der Kunde bleibt aber für Benutzer,
Rollen,
Daten,
Berechtigungen
und Konfigurationen verantwortlich.

Nach dem Shared-Responsibility-Modell ist der Kunde für die korrekte Rechtevergabe verantwortlich.
Der Anbieter stellt die SaaS-Anwendung bereit,
aber Benutzer- und Berechtigungsverwaltung bleiben Aufgabe des Kunden.

Prüfungssimulation 11

Ein Dienstleister benötigt Zugriff auf einen Server. Er bekommt VPN-Zugriff auf das gesamte interne Netz.

Bewerte das.

Das ist kritisch.

Der Dienstleister erhält mehr Zugriff als notwendig.

Least Privilege

Zugriff nur auf benötigten Server

nur benötigte Ports

zeitlich begrenzter Zugriff

MFA

Logging

separate Rolle oder Gruppe

Der Zugriff sollte nach dem Least-Privilege-Prinzip eingeschränkt werden.
Ein Dienstleister sollte nur auf die Systeme und Dienste zugreifen können,
die er für seine Aufgabe benötigt.
Dadurch wird das Risiko bei Missbrauch oder kompromittierten Zugangsdaten reduziert.

Prüfungssimulation 12

Ein Unternehmen öffnet RDP direkt ins Internet, damit Administratoren leichter zugreifen können.

Bewerte das.

Das ist ein hohes Sicherheitsrisiko.

Brute Force

Credential Stuffing

Exploits

unberechtigter Fernzugriff

VPN

RDP-Gateway

MFA

Firewall-Beschränkung auf bekannte Quellnetze

Logging

RDP sollte nicht direkt aus dem Internet erreichbar sein.
Sicherer ist ein Zugriff über VPN oder RDP-Gateway mit MFA,
Zugriffsbeschränkung und Protokollierung.

Abschluss: typische IHK-Antwortmuster

Fehlersuche

Wahrscheinlich liegt ein Problem bei [Thema] vor,
weil [Symptom] funktioniert,
aber [Symptom] nicht funktioniert.
Daher sollte [konkrete Prüfung] geprüft werden.

Beispiel:

Wahrscheinlich liegt ein DNS-Problem vor,
weil die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Daher sollten DNS-Server,
DNS-Eintrag
und DNS-Cache geprüft werden.

Sicherheitsbewertung

Das ist kritisch,
weil [Risiko].
Eine geeignete Maßnahme ist [Maßnahme],
weil dadurch [Wirkung] erreicht wird.

Beispiel:

Eine öffentlich erreichbare Datenbank ist kritisch,
weil sie direkt aus dem Internet angegriffen werden kann.
Besser ist,
den Zugriff nur aus dem Anwendungsserver-Netz zu erlauben
und die Datenbank in einem privaten Netz zu betreiben.

Vergleich

[Begriff A] bedeutet [Erklärung].
[Begriff B] bedeutet [Erklärung].
Der wesentliche Unterschied ist [Unterschied].

Beispiel:

NAT übersetzt IP-Adressen.
Eine Firewall erlaubt oder blockiert Verkehr anhand von Regeln.
Der wesentliche Unterschied ist,
dass NAT Adressen übersetzt,
während die Firewall Verkehr filtert.

Backup-Frage

RPO beschreibt den maximal akzeptablen Datenverlust.
RTO beschreibt die maximal akzeptable Wiederherstellungszeit.
Die Backup-Frequenz muss zum RPO passen,
der Restore-Prozess zum RTO.
Zusätzlich müssen Restore-Tests durchgeführt werden.

Cloud-Frage

Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung.
Der Anbieter schützt die Cloud-Infrastruktur.
Der Kunde bleibt je nach Modell für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen verantwortlich.

Letzte Wiederholung: 30 Sekunden

OSI 1:
Kabel,
Link,
Signal.

OSI 2:
MAC,
Switch,
VLAN.

OSI 3:
IP,
Gateway,
Routing.

OSI 4:
TCP,
UDP,
Ports.

OSI 5:
Session,
Cookie,
Token.

OSI 6:
TLS,
Zertifikat,
Verschlüsselung.

OSI 7:
HTTP,
DNS,
DHCP,
SMB.

DNS:
Name zu IP.

DHCP:
IP-Konfiguration automatisch.

ARP:
IPv4 zu MAC.

NAT:
Adresse übersetzen.

Firewall:
Verkehr filtern.

VPN:
verschlüsselter Tunnel.

Backup:
Sicherung.

Restore:
Wiederherstellung.

RPO:
Datenverlust.

RTO:
Wiederherstellungszeit.

MFA:
Passwort allein reicht nicht.

Least Privilege:
nur nötige Rechte.

Hardening:
Angriffsfläche reduzieren.

Patchmanagement:
bekannte Lücken schließen.

Abschluss-Merksätze

Fehlerbild zuerst lesen.

Nicht raten,
sondern eingrenzen.

IP ja,
Name nein:
DNS.

Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.

ping ja,
Dienst nein:
Port,
Dienst
oder Firewall.

Login ja,
Zugriff nein:
Rechte.

Anmeldung scheitert:
Authentifizierung.

169.254.x.x:
DHCP nicht erreicht.

VLAN ist Layer 2.

Subnetz ist Layer 3.

NAT ist nicht Firewall.

Snapshot ist nicht Backup.

Sync ist nicht Backup.

Cloud ist geteilte Verantwortung.

Portnummer ohne TCP oder UDP ist unvollständig.

Sicherheitsantworten brauchen Risiko,
Maßnahme
und Wirkung.

Gute Prüfungsantworten sind kurz,
fachlich
und begründet.

Stand dieses Trainers

Mit dieser Seite ist der gemischte Netzwerktechnik-Trainer inhaltlich abgeschlossen.

Weitere sinnvolle Ergänzungen wären nur noch separate Spezialtrainer, zum Beispiel:

- reiner Subnetting-Rechentrainer
- reiner Ports-Trainer
- reiner Firewall-Regel-Trainer
- reiner Fehlersuche-Trainer mit Fällen
- reiner Sicherheitsmaßnahmen-Trainer
- AP1-Simulation mit Zeitdruck
- AP2-Simulation mit komplexem Szenario

Diese wären eigene zusätzliche Trainerseiten und keine notwendige Fortsetzung dieses Kapitels.