Netzwerkgrundlagen
Schichten, Geräte und zentrale Protokolle im Zusammenhang sehen.
OSI und TCP/IP
Das OSI-Modell trennt Netzwerkfunktionen in sieben Schichten. Ethernet und MAC-Adressen gehören zu Schicht 2, IP und Routing zu Schicht 3, TCP und UDP zu Schicht 4.
Ethernet, MAC und ARP
Ethernet transportiert Frames innerhalb eines Layer-2-Netzes. MAC-Adressen dienen dort als Quell- und Zielkennungen. ARP ermittelt in IPv4 die MAC-Adresse zu einer lokalen IPv4-Adresse; in IPv6 übernehmen Neighbor-Discovery-Nachrichten diese Aufgabe.
Switch und Router
Ein Switch leitet Frames anhand von MAC-Adressen weiter. Ein Router verbindet IP-Netze. Das Default Gateway ist der nächste Router für Ziele außerhalb des lokalen Subnetzes.
Firewall und Access Point
Eine Firewall entscheidet anhand definierter Regeln, welcher Verkehr erlaubt ist. Ein Access Point verbindet WLAN-Clients mit einem Netzwerk. Beide Rollen können in einem Gerät kombiniert sein, erfüllen aber unterschiedliche Aufgaben.
DHCP und DNS
DHCP verteilt IP-Konfiguration dynamisch. DNS übersetzt Namen in IP-Adressen und enthält weitere Record-Typen wie MX oder TXT.
TCP, UDP und ICMP
TCP stellt einen verbindungsorientierten Bytestrom mit Reihenfolge und Wiederholungen bereit. UDP sendet Datagramme ohne eine solche Zustellgarantie. ICMP dient unter anderem Fehlermeldungen und Diagnose; ping verwendet ICMP-Echo-Nachrichten.
NAT und PAT
NAT verändert Adressinformationen an einer Netzwerkgrenze. Bei verbreitetem IPv4-PAT teilen mehrere interne Geräte eine öffentliche Adresse, indem zusätzlich Transportports unterschieden werden. NAT allein ersetzt weder Firewall-Regeln noch Zugriffskontrolle.
VLAN und WLAN
VLANs trennen Broadcast-Domänen logisch. Ein Access Port führt üblicherweise ein VLAN ungetaggt, ein Trunk mehrere VLANs getaggt. WLAN verwendet je nach Standard 2,4, 5 oder 6 GHz.
STP und Schleifen
Redundante Layer-2-Verbindungen können Frames im Kreis weiterleiten. Spanning Tree Protocol bestimmt eine schleifenfreie aktive Topologie und blockiert bei Bedarf redundante Pfade. Die genaue Variante und Portrolle hängen von der Switch-Konfiguration ab.
Routing
Ein Router entscheidet anhand seiner Routing-Tabelle und der längsten passenden Präfixregel über den nächsten Hop. Statische Routen werden administrativ eingetragen; dynamische Routingprotokolle tauschen Erreichbarkeit zwischen Routern aus. Eine Default Route greift, wenn keine spezifischere Route passt.
0.0.0.0/0 ist die IPv4-Default-Route; ::/0 ist die IPv6-Default-Route.
WLAN-Frequenzen
2,4 GHz bietet häufig größere Reichweite, hat aber weniger überlappungsfreie Kanäle und ist stark belegt. 5 GHz und 6 GHz bieten je nach Region, Gerät und Kanalbreite mehr Spektrum; Reichweite, Hindernisse und zulässige Kanäle bleiben zu beachten.
Praxis: VLAN- und Adressplan
Trenne beispielsweise Büro, Gäste und Verwaltung in eigene VLANs und IP-Netze. Weise Endgeräte passenden Access-Ports und Uplinks den benötigten Trunks zu. Routing zwischen VLANs braucht eine Layer-3-Instanz; VLAN-Trennung allein beschreibt noch keine Zugriffsregeln. Dokumentiere Port, VLAN, Präfix, Gateway und Zweck.
Büro VLAN 10: 192.168.10.0/24 Gäste VLAN 20: 192.168.20.0/24 Verwaltung VLAN 30: 192.168.30.0/24
Praxis: Routingtabellen auswerten
Prüfe für eine Zieladresse zuerst passende Präfixe, danach den längsten Treffer. Bei gleich langen Präfixen gelten plattformspezifische Auswahlregeln wie administrative Distanz und Metrik. Kontrolliere zusätzlich Erreichbarkeit des nächsten Hops und Rückweg. Ein funktionierender Hinweg allein beweist keine vollständige Verbindung.
10.0.0.0/8 via A 10.20.0.0/16 via B Ziel 10.20.4.8 verwendet den /16-Eintrag.
Praxis: Firewall-Regeln prüfen
Leite Regeln aus erlaubten Kommunikationsbeziehungen ab: Quelle, Ziel, Protokoll, Port, Richtung und Zustand. Viele Firewalls arbeiten mit erster passender Regel, aber die konkrete Plattform muss geprüft werden. Bei zustandsbehafteter Filterung werden passende Antworten einer erlaubten Verbindung zugeordnet. Prüfe erlaubte und verbotene Fälle sowie IPv4 und IPv6.
Gäste → Internet: HTTPS erlauben Gäste → interne Netze: verbieten Verwaltung → definierte Systeme: gezielten Administrationszugriff erlauben