20.6 Trainer – Schicht 4 / TCP, UDP, Ports und Schicht 4

OSI-Schicht 4 heißt:

Transportschicht

Englisch:

Transport Layer

Aufgabe:

Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.

Merksatz:

Schicht 4 = TCP,
UDP
und Ports.

Richtig ist:

A: TCP und UDP

Begründung:

TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.

Merksatz:

TCP und UDP = Transportschicht.

Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird.

Beispiel:

192.168.1.10:443

Bedeutung:

Host:
192.168.1.10

Dienst:
Port 443

Merksatz:

IP findet den Host.
Port findet den Dienst.

Portnummern gehören zu:

OSI-Schicht 4

Begründung:

Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.

Merksatz:

Ports = Schicht 4.

IP-Adresse:

identifiziert den Host logisch im Netzwerk

Port:

identifiziert den Dienst oder Prozess auf diesem Host

Beispiel:

192.168.1.10:22

192.168.1.10 = Host

22 = SSH-Dienst

Merksatz:

IP = welcher Rechner?
Port = welcher Dienst?

Quellport:

Port auf dem sendenden System

beim Client oft dynamisch

Zielport:

Port des angesprochenen Dienstes auf dem Server

Beispiel:

Client:
192.168.1.50:52344

Server:
93.184.216.34:443

Hier ist 52344 der Quellport und 443 der Zielport.

Merksatz:

Zielport zeigt meistens den Dienst.

Richtig ist:

C: TCP ist verbindungsorientiert und zuverlässig.

Begründung:

TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.

Merksatz:

TCP = zuverlässig.

Richtig ist:

B: UDP ist verbindungslos und hat wenig Overhead.

Begründung:

UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.

Merksatz:

UDP = verbindungslos und schlank.

Merksatz:

TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.

Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.

Ablauf:

1. SYN

2. SYN-ACK

3. ACK

Bedeutung:

Client fragt Verbindung an.

Server bestätigt und antwortet.

Client bestätigt die Verbindung.

Merksatz:

TCP startet mit SYN,
SYN-ACK,
ACK.

TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet.

Dazu gehören:

Verbindungsaufbau

Bestätigungen

Sequenznummern

erneute Übertragung

Reihenfolgeprüfung

Flusskontrolle

Merksatz:

TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.

DNS-Anfragen sind oft klein und sollen schnell beantwortet werden.

UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt.

Wichtig:

DNS kann bei Bedarf auch TCP 53 nutzen.

Merksatz:

DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.

Bei VoIP ist geringe Verzögerung wichtig.

Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung.

UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet.

Merksatz:

VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.

Merksatz:

Portnummer immer mit TCP oder UDP lernen.

SSH nutzt typischerweise:

TCP 22

SSH steht für:

Secure Shell

Merksatz:

SSH = TCP 22.

HTTPS nutzt typischerweise:

TCP 443

HTTPS bedeutet:

HTTP über TLS

Merksatz:

HTTPS = TCP 443.

DHCP nutzt:

UDP 67 für den DHCP-Server

UDP 68 für den DHCP-Client

Merksatz:

DHCP = UDP 67 und 68.

DNS nutzt:

UDP 53

und bei Bedarf:

TCP 53

Merksatz:

DNS = UDP/TCP 53.

SMB nutzt typischerweise:

TCP 445

SMB wird genutzt für:

Datei- und Druckfreigaben

Netzlaufwerke

Merksatz:

SMB = TCP 445.

RDP nutzt typischerweise:

TCP 3389

RDP steht für:

Remote Desktop Protocol

Merksatz:

RDP = TCP 3389.

LISTEN bedeutet:

Ein Dienst wartet auf eingehende Verbindungen.

Beispiel:

Ein Webserver lauscht auf TCP 443.

Merksatz:

LISTEN = Dienst wartet auf Verbindung.

ESTABLISHED bedeutet:

Eine TCP-Verbindung besteht.

Client und Server haben eine aktive Verbindung aufgebaut.

Merksatz:

ESTABLISHED = Verbindung besteht.

SYN_SENT bedeutet:

Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.

Mögliche Ursache, wenn es hängen bleibt:

Ziel antwortet nicht

Firewall blockiert

Dienst läuft nicht

Routingproblem

Merksatz:

SYN_SENT hängt oft bei fehlender Antwort.

Ping prüft ICMP. SSH nutzt TCP 22.

Mögliche Ursachen:

TCP 22 blockiert

SSH-Dienst läuft nicht

SSH lauscht auf anderem Port

Firewall blockiert

Zugriff nur aus bestimmten Netzen erlaubt

Benutzer oder Schlüssel falsch

Merksatz:

Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.

Zu prüfen:

TCP 443 erreichbar?

Webserver läuft?

Dienst lauscht auf Port 443?

Firewall erlaubt TCP 443?

Reverse Proxy korrekt?

TLS-Zertifikat korrekt?

Anwendung fehlerfrei?

Merksatz:

ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.

ping prüft ICMP-Erreichbarkeit.

ping prüft nicht:

TCP 22

TCP 443

TCP 445

UDP 53

Dienststatus

Anmeldung

Rechte

Anwendung

Merksatz:

ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.

Eine saubere Firewall-Regel enthält:

Quelle

Ziel

Protokoll

Port

Richtung

Aktion

Zweck

Beispiel:

Quelle:
Adminnetz

Ziel:
Server

Protokoll:
TCP

Port:
22

Aktion:
erlauben

Zweck:
SSH-Administration

Merksatz:

Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.

Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist.

Bei DNS ist wichtig:

UDP 53 für normale Abfragen

TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle

Merksatz:

Portnummer ohne TCP oder UDP ist unvollständig.

Well-Known Ports sind bekannte Standardports.

Bereich:

0 bis 1023

Beispiele:

TCP 22 SSH

TCP 80 HTTP

TCP 443 HTTPS

UDP/TCP 53 DNS

Merksatz:

Well-Known Ports sind bekannte Dienstports.

Dynamische Ports werden häufig von Clients als Quellports verwendet.

Bereich:

49152 bis 65535

Beispiel:

Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.

Merksatz:

Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.

Der Webdienst wird durch den Zielport angezeigt:

TCP 443

Der Quellport 52344 ist ein dynamischer Clientport.

Merksatz:

Zielport zeigt den Dienst.

RDP ist ein häufiges Angriffsziel.

Risiken:

Brute-Force-Angriffe

Credential Stuffing

Exploits

unberechtigter Fernzugriff

Sicherer:

VPN

RDP-Gateway

MFA

Firewall-Beschränkung auf bekannte Quellnetze

Logging

Merksatz:

RDP nicht offen ins Internet stellen.

SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein.

Risiken:

Datenabfluss

Malware-Ausbreitung

Brute Force

Ausnutzung von Schwachstellen

Zugriff auf interne Freigaben

Merksatz:

SMB gehört nicht offen ins Internet.

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS-Verschlüsselung

SFTP:

Dateiübertragung über SSH

nutzt TCP 22

Merksatz:

FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.

Richtig ist:

A: SFTP nutzt normalerweise TCP 22.

Begründung:

SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.

Merksatz:

SFTP gehört zu SSH,
nicht zu FTPS.

Sinnvolle Prüfungen:

Lauscht der Dienst auf dem erwarteten Port?

Nutzt er TCP oder UDP?

Lauscht er auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Ist NAT oder Portweiterleitung korrekt?

Gibt es Logs?

Merksatz:

Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.

Möglicherweise fehlt:

UDP 53

und je nach Fall auch:

TCP 53

Begründung:

DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.

Merksatz:

DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.

B ist besser.

Begründung:

Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.

Merksatz:

Fehlerbild genau nach Protokoll einordnen.

B ist besser.

Begründung:

Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.

Merksatz:

Port plus Protokoll nennen.

B ist besser.

Begründung:

Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.

Merksatz:

Bei Begründungen immer die passende Eigenschaft nennen.