03 · Netzwerktechnik

Das OSI-Modell beschreibt die Kommunikation im Netzwerk in sieben aufeinander aufbauenden Schichten – vom physischen Kabel bis zur Anwendung; das schlankere TCP/IP-Modell fasst mehrere dieser Schichten zusammen.

TCP/IP-Modell fasst zusammen: Netzzugang (1–2), Internet (3), Transport (4), Anwendung (5–7). Prüfungsklassiker: „Auf welcher Schicht arbeitet ein Switch, und warum?“ → Schicht 2, er leitet anhand von MAC-Adressen weiter. Merkspruch für 1→7: „Please Do Not Throw Salami Pizza Away.“

32 Bit, vier Oktette (z. B. 192.168.10.17). Die Subnetzmaske trennt Netz- und Hostanteil. MAC vs. IP: MAC = fest eingebrannte Hardware-Adresse (Schicht 2, gilt im lokalen Netz), IP = logische, konfigurierbare Adresse (Schicht 3, weltweit routbar). ARP übersetzt IP → MAC.

Öffentliche und private Adressen

Öffentliche Adressen sind weltweit eindeutig, werden von einer übergeordneten Stelle vergeben (IANA/RIPE, in der Praxis meist über den Internetprovider) und aus dem Internet direkt erreichbar. Private Adressen stammen aus den nach RFC 1918 reservierten Bereichen – sie dürfen von jedem beliebig oft im eigenen LAN benutzt werden, sind aber im Internet nicht routbar. Ein Router mit NAT übersetzt sie beim Verlassen des lokalen Netzes auf eine öffentliche Adresse.

Fehlersuche-Klassiker: Client hat 169.254.x.x → DHCP-Server nicht erreichbar (Server aus, VLAN falsch, Kabel, DHCP-Pool leer).

Ein Subnetz ist ein kleinerer, logischer Teilbereich eines größeren IP-Netzwerks. Durch die Aufteilung (Subnetting) trennt man ein Netzwerk mithilfe einer Subnetzmaske in mehrere Abschnitte auf, damit Geräte schneller kommunizieren, der Datenverkehr gezielt gesteuert und das Netz besser abgesichert werden kann.

Vier Begriffe muss man dafür auseinanderhalten:

• Netzteil und Hostteil: Jede IP-Adresse ist 32 Bit (4 × 8 Bit) lang und teilt sich in einen Bereich für den Netzteil (welches Netz) und den Hostteil (welches konkrete Gerät) auf.
• Subnetzmaske: Sie zeigt an, welcher Teil der IP-Adresse den Netzteil und welcher den Hostteil bestimmt.
• Spezielle Adressen: Die erste Adresse eines Subnetzes ist die Netzwerkadresse, die letzte dient als Broadcast-Adresse. Beide können keine normalen Geräte (Hosts) sein.
• Router: Sie verbinden verschiedene Subnetze miteinander, damit Daten von einem Bereich in einen anderen fließen können.

Dieselbe Adresse, dreimal betrachtet: Je nach Präfix verläuft die Grenze zwischen Netz- und Hostteil an einer anderen Stelle. Der jeweils gemeinte Teil ist hervorgehoben.

Bei /24 gehören die ersten drei Zahlen zum Netz, bei /16 nur die ersten zwei – der Hostteil ist entsprechend größer.

Präfix und Subnetzmaske

Präfix und Subnetzmaske sind zwei Schreibweisen für dieselbe Angabe.

Alle Werte von /8 bis /32 stehen in der Subnetztabelle weiter unten.

Was die Maske im Binären macht

Die Schreibweise /24 heißt CIDR-Notation. Warum ausgerechnet 24 Bit die Maske 255.255.255.0 ergeben, sieht man erst in der Binärdarstellung: Die Maske ist eine Reihe von Einsen, gefolgt von Nullen. Die Einsen markieren den Netzanteil.

Daraus folgt auch, warum beim Verschieben der Grenze so krumme Werte wie 192 oder 224 herauskommen: Wandert die Trennlinie mitten in ein Oktett, steht dort keine 255 mehr, sondern die Summe der vorderen Bits.

Warum immer zwei Adressen fehlen

Von den Adressen eines Netzes sind zwei nicht frei vergebbar. Die Netzadresse – die niedrigste – benennt das Netz als Ganzes, die Broadcast-Adresse – die höchste – spricht alle Geräte darin gleichzeitig an. Deshalb steht in jeder Rechnung das berühmte „minus zwei“: Bei 8 Hostbits sind es nicht 256, sondern 2⁸ − 2 = 254 nutzbare Adressen.

Die drei Formeln

Mehr als diese drei Zeilen braucht man zum Rechnen nicht. Die ersten beiden folgen direkt aus dem Verschieben der Grenze, die dritte ist eine Abkürzung: Sie liefert den Abstand von einem Subnetz zum nächsten, ohne dass man binär rechnen muss.

Das „interessante Oktett“ ist dabei das, in dem die Grenze liegt – bei /26 also das vierte. 256 − 192 = 64 heißt: Die Subnetze beginnen bei .0, .64, .128 und .192.

Schritt für Schritt rechnen

Am zuverlässigsten kommt man mit einer festen Schrittfolge zum Ziel – binär umwandeln, Maske erweitern, die neuen Bits durchzählen, Ergebnis ablesen. Einmal komplett durchgerechnet, als Aufgabe: 142.213.10.40 /15 in 5 gleich große Netze aufteilen.

Schritt 1 · IP binär umwandeln

Schritt 2 · Maske aus dem Präfix binär ableiten

Schritt 3 · Nötige Bits bestimmen

Schritt 4 · Maske und IP um die 3 Bits erweitern

Schritt 5 · Die 3 Bits durchzählen

Von 000 bis 111 – nur 5 von 8 möglichen Werten werden gebraucht:

Schritt 6 · Netz-ID, Broadcast, Hostspektrum ablesen

Erste Adresse = Netz-ID, letzte = Broadcast, dazwischen das Hostspektrum – ausformuliert für das erste der fünf Netze:

Dieselbe Schrittfolge funktioniert genauso für IPv6 – nur ohne die „minus zwei“-Regel, weil es dort keine Broadcast-Adresse gibt. Die vollständige Rechnung mit allen fünf Netzen und zwei IPv6-Beispielen steht auf der Seite Subnetzberechnung.

Subnetztabelle

Alle Suffixe von /8 bis /32. Die hervorgehobenen Zeilen ab /24 sind die, die in Prüfungsaufgaben tatsächlich vorkommen – der Rest steht der Vollständigkeit halber dabei.

/31 und /32 haben rechnerisch keine nutzbaren Hosts. /31 ist trotzdem erlaubt – bei Punkt-zu-Punkt-Verbindungen zwischen zwei Routern werden beide Adressen genutzt (RFC 3021). /32 bezeichnet einen einzelnen Rechner.

Beispiel 1: Grundaufgabe

Beispiel 2: Subnetze bilden

Beispiel 3: VLSM (BW-Liebling)

128 Bit, acht Blöcke Hexadezimal, getrennt durch Doppelpunkte. Standard-Präfixlänge für Endnetze: /64 (davor Netz-, danach Interface-Identifier).

SLAAC: Hosts konfigurieren sich selbst aus dem Router-Advertisement (Präfix + eigener Interface-Teil) – DHCPv6 ist optional. Vorteile IPv6: riesiger Adressraum (kein NAT nötig), Autokonfiguration, effizienterer Header, IPsec vorgesehen. Dual Stack = IPv4 und IPv6 parallel betreiben.

Jeder Netzwerkdienst ist über eine feste Portnummer erreichbar – sie identifiziert zusammen mit der IP-Adresse, welcher Dienst eine ankommende Verbindung entgegennimmt.

IMAP (143/993) lässt Mails auf dem Server und synchronisiert mehrere Geräte; POP3 (110/995) lädt herunter und löscht typischerweise. Well-known Ports: 0–1023.

TCP und UDP sind die beiden Transportprotokolle, über die so gut wie jede Netzwerkanwendung läuft – sie unterscheiden sich vor allem darin, ob Zuverlässigkeit oder Geschwindigkeit im Vordergrund steht.

Begründungs-Klassiker: „Warum UDP für VoIP?“ → Ein verspätet nachgeliefertes Sprachpaket ist wertlos; geringe Latenz schlägt Zuverlässigkeit.

DHCP vergibt automatisch IP, Maske, Gateway, DNS (Optionen). Ablauf DORA: Discover (Broadcast des Clients) → Offer (Server bietet Adresse) → Request (Client wählt) → Acknowledge (Server bestätigt, Lease-Zeit beginnt). Reservierungen binden eine feste IP an eine MAC. In gerouteten Netzen leitet ein DHCP-Relay die Broadcasts zum zentralen Server weiter.

DNS übersetzt Namen in Adressen – hierarchisch: Root → TLD (.de) → autoritativer Nameserver; der lokale Resolver cacht Antworten (TTL).

Ein Switch lernt MAC-Adressen pro Port und leitet Frames gezielt weiter (kein Kollisionschaos wie beim Hub). VLANs teilen einen physischen Switch in logisch getrennte Netze – für Sicherheit (Gäste ≠ Verwaltung), Ordnung und kleinere Broadcast-Domänen.

• Access-Port (untagged): für Endgeräte, gehört genau einem VLAN – der Frame trägt kein Tag.
• Trunk (tagged, IEEE 802.1Q): transportiert mehrere VLANs zwischen Switches/zum Router; jeder Frame bekommt ein VLAN-Tag (12-Bit-ID → 1–4094).
• Natives VLAN: das eine VLAN, das auf dem Trunk untagged läuft – aus Sicherheitsgründen umkonfigurieren (nicht VLAN 1) und beidseitig gleich einstellen.
• Inter-VLAN-Routing: zwischen VLANs vermittelt ein Router („Router on a Stick“) oder ein Layer-3-Switch – ohne Routing bleiben sie getrennt.
• VLAN-Hopping: Angriff über doppelte Tags/aushandelbare Trunks – Gegenmaßnahmen: Trunk-Aushandlung (DTP) abschalten, ungenutzte Ports in ein Parkplatz-VLAN, natives VLAN separat.

Typische Prüfungsaufgabe: Portbelegungstabelle ausfüllen (welcher Port tagged/untagged in welchem VLAN) und begründen, warum Drucker, Gäste-WLAN und Verwaltung getrennt gehören.

Der Router entscheidet anhand seiner Routingtabelle: bekanntestes (längstes) passendes Präfix gewinnt; passt nichts, greift die Default-Route 0.0.0.0/0 → Standardgateway. Falsches/fehlendes Gateway = „lokal geht alles, Internet nicht“ – beliebtes Fehlerbild.

• Statisches Routing: von Hand gepflegt – einfach, vorhersagbar, gut für kleine Netze und Transfernetze; skaliert schlecht.
• Dynamisches Routing: Router tauschen Routen selbst aus (OSPF im LAN, BGP im Internet) – passt sich Ausfällen an.
• NAT/PAT: übersetzt private Adressen auf die öffentliche Router-IP (Port-basiert) – deshalb kommen viele Geräte über eine IPv4 ins Internet. Port-Forwarding macht interne Dienste gezielt von außen erreichbar (z. B. Port 443 → interner Webserver) – jede Freigabe ist eine bewusste Sicherheitsentscheidung.

WLAN überträgt Daten per Funk statt per Kabel – die Standards unterscheiden sich in Frequenzband und Geschwindigkeit, die Sicherheitsverfahren darin, wie gut sie den Zugang schützen.

2,4 GHz: größere Reichweite, nur 3 überlappungsfreie Kanäle (1/6/11), voll (Bluetooth, Mikrowelle). 5/6 GHz: schneller, mehr Kanäle, kürzere Reichweite.

Sicherheit: WEP tot, WPA2-PSK Minimum, WPA3 Stand der Technik. Personal (PSK) = ein gemeinsames Passwort; Enterprise (802.1X/RADIUS) = individuelle Anmeldung pro Nutzer – Firmenstandard, Schlüssel pro Sitzung. MAC-Filter und SSID-Verstecken gelten nur als Hürde, nicht als Sicherheit. Mehrere SSIDs lassen sich auf VLANs mappen (Gäste-WLAN!).

Für die feste Verkabelung eines Netzwerks stehen Kupfer- und Glasfaserkabel zur Wahl, die sich in Reichweite, Übertragungsrate und Störanfälligkeit deutlich unterscheiden.

Strukturierte Verkabelung: Primärbereich (Standort↔Standort, LWL) – Sekundär (Gebäude/Steigleitung) – Tertiär (Etage: Patchpanel → Dose, max. 90 m fest + 2×5 m Patchkabel). Vorteile LWL: EMV-unempfindlich, abhörsicherer, große Distanzen, Potenzialtrennung. PoE (802.3af/at/bt: ~15/30/60–90 W) versorgt APs, Telefone und Kameras übers Datenkabel – Switch-Powerbudget beachten.