20.3 Trainer – Schicht 2 / Ethernet, MAC-Adressen, Switching, VLAN und ARP

OSI-Schicht 2 heißt:

Sicherungsschicht

Englisch:

Data Link Layer

Aufgabe:

lokale Übertragung von Frames über MAC-Adressen.

Merksatz:

Schicht 2 = Sicherungsschicht.

Richtig ist:

B: MAC-Adresse

Begründung:

MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet.

Merksatz:

MAC-Adresse = Schicht 2.

Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle.

Sie dient zur lokalen Kommunikation im Netzwerksegment.

Beispiel:

AA:BB:CC:11:22:33

Typisch:

48 Bit lang

hexadezimale Schreibweise

Merksatz:

MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz.

Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2.

Er enthält unter anderem:

Ziel-MAC-Adresse

Quell-MAC-Adresse

Nutzdaten

Prüfinformationen

Merksatz:

Ethernet überträgt Frames.

Merksatz:

Der Frame transportiert höhere Schichten als Nutzdaten.

Ein Switch verbindet Geräte im lokalen Netzwerk.

Er arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter.

Merksatz:

Switch = lokale Weiterleitung anhand MAC-Adressen.

Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames.

Wenn ein Frame an Port 3 ankommt, merkt sich der Switch:

Diese Quell-MAC-Adresse ist über Port 3 erreichbar.

Merksatz:

Switch lernt aus Quell-MAC-Adressen.

Der Switch leitet den Frame gezielt an den Port weiter, an dem die Ziel-MAC-Adresse bekannt ist.

Merksatz:

bekannte Ziel-MAC:
gezielte Weiterleitung.

Der Switch flutet den Frame.

Das bedeutet:

Er sendet den Frame an alle Ports im gleichen VLAN,
außer an den Eingangsport.

Merksatz:

unbekannte Ziel-MAC:
Flooding.

Flooding bedeutet:

Ein Switch sendet einen Frame an alle Ports im gleichen VLAN,
außer an den Port,
über den der Frame gekommen ist.

Flooding passiert bei:

unbekannter Ziel-MAC-Adresse

Broadcast

bestimmten Multicast-Fällen

Merksatz:

Flooding ist nicht immer ein Fehler.

Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich.

Beispiel:

ARP Request

Broadcasts bleiben normalerweise im gleichen VLAN.

Merksatz:

Broadcast erreicht alle Geräte im gleichen VLAN.

Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden.

Ohne VLAN:

oft gesamtes Switch-Netz

Mit VLAN:

jedes VLAN ist eine eigene Broadcast-Domäne

Merksatz:

VLANs trennen Broadcast-Domänen.

VLAN steht für:

Virtual Local Area Network

Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche.

Beispiele:

VLAN 10 Verwaltung

VLAN 20 Clients

VLAN 30 Server

VLAN 40 Gäste

Merksatz:

VLAN = logische Trennung auf Schicht 2.

Mögliche Gründe:

logische Netztrennung

kleinere Broadcast-Domänen

bessere Struktur

Trennung von Abteilungen

Trennung von Gästen und internem Netz

Trennung von Servern und Clients

separate Managementnetze

IHK-sichere Antwort:

VLANs werden eingesetzt,
um Netzbereiche logisch zu trennen
und Broadcast-Domänen zu verkleinern.

Nein.

VLAN:

logische Trennung auf OSI-Schicht 2

IP-Subnetz:

logische IP-Aufteilung auf OSI-Schicht 3

Wichtig:

In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.

Merksatz:

VLAN = Layer 2.
Subnetz = Layer 3.

Ein Access-Port gehört normalerweise zu genau einem VLAN.

Typische Nutzung:

PC

Drucker

Telefon

normales Endgerät

Das Endgerät muss das VLAN meist nicht selbst kennen.

Merksatz:

Access-Port = ein VLAN für Endgeräte.

Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung.

Typische Nutzung:

Verbindung zwischen Switches

Verbindung zu Router

Verbindung zu Firewall

Verbindung zu Hypervisor

Verbindung zu VLAN-fähigem Access Point

Merksatz:

Trunk-Port = mehrere VLANs über eine Verbindung.

Merksatz:

Access = ein VLAN.
Trunk = mehrere VLANs.

VLAN-Tagging bedeutet:

Ein Ethernet-Frame enthält eine VLAN-Information.

Häufiger Standard:

IEEE 802.1Q

Typisch bei:

Trunk-Verbindungen

Merksatz:

802.1Q markiert Frames mit VLAN-Information.

Untagged:

Frame enthält keinen VLAN-Tag für das Endgerät.

Typisch:

Access-Port

Tagged:

Frame enthält VLAN-Information.

Typisch:

Trunk-Port

Merksatz:

Access meist untagged.
Trunk meist tagged.

ARP steht für:

Address Resolution Protocol

Aufgabe:

ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.

Beispiel:

Der Client kennt die IP-Adresse des Gateways,
braucht aber für Ethernet die MAC-Adresse des Gateways.

Merksatz:

ARP findet die MAC-Adresse zu einer IPv4-Adresse.

IPv4 arbeitet mit IP-Adressen.

Ethernet im lokalen Netz benötigt aber MAC-Adressen.

ARP verbindet diese beiden Ebenen, indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird.

Merksatz:

IP sagt,
welches Ziel gemeint ist.

MAC sagt,
wohin lokal gesendet wird.

Verwendet wird:

die MAC-Adresse des Zielservers

Begründung:

Das Ziel liegt im gleichen lokalen Subnetz.
Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden.

Merksatz:

gleiches Subnetz:
MAC des Zielhosts.

Verwendet wird:

die MAC-Adresse des Standardgateways

Begründung:

Das Ziel liegt außerhalb des lokalen Subnetzes.
Der Client sendet das Ethernet-Frame lokal an das Gateway.
Das IP-Ziel bleibt aber der entfernte Server.

Merksatz:

anderes Subnetz:
MAC des Gateways.

Ein ARP Request ist eine Anfrage per Broadcast.

Vereinfacht:

Wer hat diese IPv4-Adresse?

Beispiel:

Wer hat 192.168.1.1?

Merksatz:

ARP Request = Broadcast-Frage.

Ein ARP Reply ist die Antwort auf einen ARP Request.

Vereinfacht:

Diese IPv4-Adresse gehört zu dieser MAC-Adresse.

Merksatz:

ARP Reply liefert die MAC-Adresse.

Die ARP-Tabelle speichert bekannte Zuordnungen:

IPv4-Adresse

zu

MAC-Adresse

Vorteil:

Der Host muss nicht für jedes Paket erneut per ARP fragen.

Merksatz:

ARP-Tabelle = Zwischenspeicher für IP-zu-MAC.

ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden.

Ziel:

Datenverkehr umleiten

Man-in-the-Middle ermöglichen

Kommunikation stören

Schutzmaßnahmen:

Dynamic ARP Inspection

Netzwerksegmentierung

Switch-Sicherheitsfunktionen

Monitoring

Verschlüsselung höherer Schichten

Merksatz:

ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen.

STP steht für:

Spanning Tree Protocol

Aufgabe:

Layer-2-Schleifen verhindern

Warum wichtig?

Schleifen können Broadcast-Stürme verursachen
und das Netzwerk stark belasten oder lahmlegen.

Merksatz:

STP verhindert Switch-Schleifen.

Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.

Folgen:

Netz wird langsam

Switches werden überlastet

Clients verlieren Verbindung

Dienste brechen ab

Merksatz:

Layer-2-Schleifen können das Netzwerk lahmlegen.

Naheliegend ist:

falsches VLAN

Begründung:

Wenn ein Client am falschen VLAN hängt,
kann er vom falschen DHCP-Scope eine Adresse erhalten.

Merksatz:

falsches VLAN:
häufig falsche IP-Konfiguration.

Mögliche Ursachen:

Switchport deaktiviert

falsches Access-VLAN

Kabel oder Dose defekt

Port Security blockiert

VLAN nicht korrekt zugewiesen

Endgerät defekt

Merksatz:

Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.

Prüfen:

Trunk-Port aktiv?

VLANs auf Trunk erlaubt?

VLANs auf beiden Switches vorhanden?

Tagging korrekt?

Native VLAN passend?

Gegenstelle korrekt konfiguriert?

Merksatz:

Mehrere VLANs betroffen:
Trunk prüfen.

Mögliche Ursachen:

falsches VLAN

ARP-Problem

lokale Firewall

Switchport blockiert

Port Security

MAC-Adresstabelle fehlerhaft oder veraltet

Duplex- oder Linkproblem

Merksatz:

Gleiches Subnetz heißt nicht automatisch,
dass Layer 2 sauber funktioniert.

Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.

Ziel:

unautorisierte Geräte erschweren

einfache Angriffe reduzieren

Portmissbrauch begrenzen

Merksatz:

Port Security kontrolliert MAC-Adressen am Switchport.

802.1X ist portbasierte Netzwerkzugangskontrolle.

Prinzip:

Ein Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.

Typisch mit:

RADIUS

Zertifikaten

Benutzerkonto

Merksatz:

802.1X prüft Zugriff vor Netzzugang.

Richtig ist:

B: VLANs trennen Broadcast-Domänen.

Begründung:

VLANs trennen Layer-2-Bereiche logisch.
Sie ersetzen aber keine Firewall,
wenn Verkehr zwischen VLANs kontrolliert werden soll.

Merksatz:

VLAN trennt.
Firewall kontrolliert.

B ist besser.

Begründung:

Die Antwort erklärt die technische Trennung auf Schicht 2
und den Bedarf für Routing auf Schicht 3.

Merksatz:

VLANs trennen.
Routing verbindet.

B ist besser.

Begründung:

Flooding ist ein normales Switching-Verhalten,
wenn die Ziel-MAC-Adresse unbekannt ist.
Es ist nicht automatisch ein Fehler.

Merksatz:

Flooding normal,
Broadcast-Sturm kritisch.

MAC-Adresse:

lokale Zustellung auf Schicht 2

IP-Adresse:

logische Adressierung auf Schicht 3

Port:

Zuordnung zu Dienst oder Prozess auf Schicht 4

Merksatz:

MAC lokal.
IP logisch.
Port Dienst.