Netzwerkdienste: DHCP, DNS und mehr

DHCP, das Dynamic Host Configuration Protocol, liefert eine IPv4-Adresse und Einstellungen für eine begrenzte Zeit, die als Lease bezeichnet wird. Der Server lauscht auf UDP 67; der Client verwendet UDP 68. Laptops, Drucker, Telefone und Router-Schnittstellen können alle Clients sein. Unter Cisco IOS veranlasst ip address dhcp eine Schnittstelle, ihre Einstellungen anzufordern.

Den ersten Lease erhalten

Ein neuer Client verwendet vier Nachrichten, die als DORA bezeichnet werden:

1. Discover: Ohne nutzbare Adresse und bekannten Server sendet der Client einen Broadcast von 0.0.0.0 an 255.255.255.255.
2. Offer: Ein Server schlägt eine Adresse, eine Lease-Dauer und Einstellungen vor.
3. Request: Der Client fordert das ausgewählte Angebot an. Diese Anfrage wird normalerweise als Broadcast gesendet, damit andere anbietende Server erfahren, dass sie nicht ausgewählt wurden.
4. Acknowledge: Der ausgewählte Server bestätigt den Lease. Der Client kann ihn nun nutzen.

Ein Laptop erhält zum Beispiel 192.168.10.57/24, das Gateway 192.168.10.1, den DNS-Server 192.168.10.5 und einen Lease für 8 Stunden. Viele Clients prüfen die Adresse mit ARP, bevor sie sie verwenden. Antwortet ein anderer Host für diese Adresse, sendet der Client DHCPDECLINE und beginnt erneut.

Einstellungen werden als nummerierte Optionen übertragen. Option 1 liefert die Subnetzmaske, 3 den Router, 6 die DNS-Server, 15 den Domänennamen und 51 die Lease-Dauer. Optionen wie 43 oder 150 helfen Telefonen und Access Points, einen Controller oder Konfigurationsserver zu finden. Eine korrekte Adresse mit einem falschen DNS-Server ist daher ebenfalls ein DHCP-Konfigurationsproblem.

Vor Ablauf des Lease erneuern

Der Lease hat zwei standardmäßige Erneuerungszeitpunkte, gemessen ab seinem Beginn:

Eine Bestätigung während der Erneuerung startet den Lease neu, meist für dieselbe Adresse. Nutzer arbeiten während der normalen Erneuerung im Hintergrund weiter; ein kurzer Lease trennt sie nicht regelmäßig von der Verbindung.

Unter Windows zeigt ipconfig /all den Server und die Lease-Zeiten. ipconfig /release gibt die Adresse zurück und ipconfig /renew fordert einen Lease an. Ein Gerät, das das Netzwerk ohne Freigabe verlässt, belegt seinen Lease weiterhin bis zu dessen Ablauf. Schlägt DHCP fehl, kann Windows sich selbst eine linklokale APIPA-Adresse wie 169.254.37.112 zuweisen. Sie ermöglicht die Kommunikation mit anderen linklokalen Hosts in diesem Segment, bietet aber keinen gerouteten Internetzugang.

IPv6-Adresskonfiguration vergleichen

Mit SLAAC bildet ein Host eine IPv6-Adresse aus einem /64-Präfix, das ein Router bekannt gibt. Flags im Router Advertisement weisen Hosts auf DHCPv6 hin: M fordert eine verwaltete Adresskonfiguration an; O fordert andere Einstellungen wie DNS an. Zustandsbehaftetes DHCPv6 liefert eine Adresse; zustandsloses DHCPv6 liefert zusätzliche Einstellungen, während SLAAC die Adresse liefert. DHCPv6 verwendet UDP 546 für Clients und 547 für Server. Das Standardgateway stammt aus Router Advertisements oder einer manuellen Konfiguration, nicht von DHCPv6.

Ein DHCP-Bereich, auf Cisco-Geräten Pool genannt, verbindet die vergebbaren Adressen eines Subnetzes mit den Einstellungen, die Clients dort benötigen. Plane die Adressen vor der Eingabe von Befehlen, damit der DHCP-Server und manuell konfigurierte Geräte nie dieselbe Adresse beanspruchen.

Den verfügbaren Bereich wählen

Beginne mit dem Netz, dem Präfix und dem nutzbaren Hostadressbereich. Liste das Gateway, Server und andere Geräte mit festen Adressen auf und schließe deren Adressen aus. Für 192.168.10.0/24 reicht der nutzbare Bereich von .1 bis .254. Werden .1 bis .20 ausgeschlossen, bleiben .21 bis .254:

Dieser Pool reicht für 234 Leases. Erwartete 260 Clients passen nicht hinein; verwende ein größeres Subnetz wie ein /23-Netz mit 510 nutzbaren Adressen oder ein weiteres Subnetz. Berücksichtige bei der Wachstumsplanung neben aktiven Nutzern auch ausgeschlossene und reservierte Adressen.

Ein Ausschluss weist den Server an, eine Adresse niemals zu vergeben. Eine Reservierung bindet eine Adresse an eine bestimmte MAC-Adresse oder Clientkennung, während das Gerät weiterhin DHCP verwendet. Ein Drucker mit Reservierung erhält bei der Erneuerung aktualisierte DNS-Einstellungen. Ein Drucker mit manuell eingetragener statischer Konfiguration muss auf dem Gerät selbst aktualisiert werden.

Einen Pool unter Cisco IOS konfigurieren

Gib den Ausschluss in der globalen Konfiguration ein. Die übrigen Einstellungen gehören in den Pool:

ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp pool OFFICE
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.10.5
 domain-name example.com
 lease 0 8

lease 0 8 bedeutet 0 Tage und 8 Stunden. Ohne Lease-Befehl beträgt der IOS-Standardwert 1 Tag. Das Gateway muss zu diesem Subnetz passen. Kopierst du default-router aus einem anderen Pool, können Clients möglicherweise lokale Hosts erreichen, ihr Netzwerk aber nicht verlassen.

Prüfe das Ergebnis mit show ip dhcp pool für die Poolkapazität, show ip dhcp binding für Clients und Ablaufzeiten und show ip dhcp conflict für nach einem Konflikt entfernte Adressen. Windows Server verwendet dieselben Konzepte für Bereiche, Ausschlüsse, Reservierungen und Optionen; Bereichsoptionen können serverweite Optionen überschreiben.

Lease-Dauer und Redundanz an den Bedarf anpassen

Für Gäste-WLANs sind Leases von etwa 1–4 Stunden vorteilhaft, weil verlassene Geräte ihren Platz durch den Ablauf früher freigeben. Für dauerhaft genutzte Bürorechner eignen sich Leases über mehrere Tage; der Standardwert von Windows Server beträgt 8 Tage. Ein Pool mit 200 Adressen kann sich bei täglich 60 neuen Gästegeräten in etwa 3,3 Tagen füllen, wenn diese Leases belegt bleiben. Eine kürzere konfigurierte Dauer hilft, sobald neue Leases und Erneuerungen wirksam werden; bestehende Leases werden dadurch nicht sofort gelöscht.

Zwei Server können den Bereich ohne Überlappung aufteilen, etwa im Verhältnis 80/20, oder eine unterstützte Failover-Funktion nutzen, die den Lease-Status gemeinsam verwendet. Zwei unabhängige Server dürfen nicht dieselben Adressen frei vergeben: Andernfalls könnte jeder dieselbe Adresse einem anderen Client zuweisen.

Ein Client sendet seinen Discover als Broadcast im lokalen Segment. Ein gewöhnlicher Router leitet diesen Broadcast nicht weiter. Deshalb braucht ein DHCP-Server in einem anderen Subnetz einen Relay-Agenten, um ihn zu empfangen. Das Relay läuft meist auf der Router- oder Layer-3-Switch-Schnittstelle, die als Gateway des Client-Subnetzes dient.

Anfrage weiterleiten und Subnetz bestimmen

Das Relay empfängt den Broadcast und sendet eine Unicast-Anfrage an den Server. Es trägt die Adresse seiner Schnittstelle zu den Clients in giaddr ein, das Feld für die Gateway-IP-Adresse. Der Server wählt anhand dieser Adresse den Bereich des Clients und sendet seine Antwort über das Relay zurück.

Angenommen, das Gateway für VLAN 20 ist 192.168.20.1 auf GigabitEthernet0/1 und der Server ist 10.0.0.10. Konfiguriere:

interface GigabitEthernet0/1
 ip helper-address 10.0.0.10

Der Befehl gehört auf die Schnittstelle zu den Clients. Ein Helper auf der Schnittstelle zum Server empfängt den Client-Broadcast nicht. Der Server benötigt außerdem einen Bereich für 192.168.20.0/24 und eine Rückroute zu 192.168.20.1. Eine zweite Helper-Zeile kann einen Ersatzserver angeben. Unter IOS leiten Helper-Adressen standardmäßig mehrere UDP-Broadcast-Dienste weiter, darunter DNS und TFTP. Berücksichtige dieses Verhalten beim Netzwerkentwurf.

Vom Client aus vorgehen

Wähle anhand des Symptoms die nächste Prüfung:

Untersuche dann den Pfad. Prüfe das VLAN des Switch-Ports, die Serveradresse des Helpers, das Routing in beide Richtungen und ACL- oder Firewall-Regeln für DHCP. Clients verwenden UDP 68 und Server UDP 67; der Verkehr vom Relay zum Server verwendet den Serverport. Ein funktionierender DNS-Dienst belegt nicht, dass DHCP-Verkehr zugelassen ist.

Beispiel: VLAN 10 funktioniert, aber ein neues VLAN 30 erhält nur APIPA-Adressen. Wenn der Server entfernt ist und VLAN 30 keinen Helper hat, erreicht sein Discover den Server nie. Ergänze das Relay am Gateway dieses VLANs und prüfe, ob der Server einen passenden Bereich hat, bevor du die Erneuerung erneut testest.

Ursache beheben, bevor Zustände gelöscht werden

Ein erschöpfter Pool hat keine freien Adressen mehr anzubieten. Vergleiche in show ip dhcp pool die vergebenen Adressen mit der Gesamtzahl abzüglich der ausgeschlossenen Adressen und prüfe dann die Konfliktliste auf weitere nicht verfügbare Adressen. Wiederholte Anfragen mit ipconfig /renew schaffen keine Kapazität. Prüfe veraltete Ausschlüsse und Reservierungen, passe die Lease-Dauer an den Gerätewechsel an oder vergrößere den Adressraum.

Ein statisch konfiguriertes Gerät innerhalb des dynamischen Pools kann Warnungen vor doppelten IP-Adressen verursachen. Finde und behebe diese Überlappung und lösche anschließend bei Bedarf behobene Konflikteinträge mit clear ip dhcp conflict *. Wird die Liste geleert, während die doppelte Adresse noch besteht, tritt derselbe Fehler leicht erneut auf.

Ein nicht autorisierter DHCP-Server, häufig ein angeschlossener Heimrouter, kann ein falsches Gateway vergeben. Identifiziere ihn anhand der Client-Konfiguration und entferne ihn. DHCP-Snooping verhindert, dass nicht vertrauenswürdige Switch-Ports Serverantworten senden, und schützt spätere Clients vor demselben Fehler.

IP-Adressverwaltung (IPAM) verbindet Planung mit Dokumentation und IP-Adresserkennung. Sie beantwortet praktische Fragen: Welches Subnetz gehört zu diesem VLAN? Wem gehört diese Adresse? Ist sie statisch, reserviert oder per Lease vergeben? In welchem Bereich ist noch Platz? Eine Tabellenkalkulation kann einen kleinen Plan aufnehmen; ein spezielles Werkzeug kann diesen Plan außerdem mit aktiven Geräten vergleichen. Produkte, die DNS, DHCP und IPAM kombinieren, heißen DDI.

Genug für die nächste sichere Änderung dokumentieren

Dokumentiere für jedes Subnetz sein Netz und Präfix, die VLAN-ID, das Gateway, den Zweck, den Standort, den DHCP-Bereich und die Ausschlüsse. Halte für jede statische Zuweisung den Hostnamen, die MAC-Adresse, den Gerätetyp, den Eigentümer und das Zuweisungsdatum fest. Mit diesen Angaben lässt sich eine Adresse, die lediglich nicht antwortet, von einer Adresse unterscheiden, die erneut vergeben werden kann.

Ein Standort mit 10.20.0.0/16 könnte zuweisen:

Innerhalb jedes Subnetzes kann .1 das Gateway, .2–.20 der feste Bereich und .21–.254 der DHCP-Bereich sein. Die Dokumentation dieses Musters hilft einer Fachkraft, die Aufgabe eines Geräts zu erkennen, und verhindert, dass zwei Teams überlappende Bereiche zuweisen. Wird eine feste Adresse zugewiesen, braucht der Plan trotzdem einen eigenen Eintrag dafür.

Reserven messen

Die Adressraumauslastung vergleicht verwendete mit nutzbaren Adressen:

Ein /22-Netz hat 1.022 nutzbare IPv4-Adressen. Sind 870 davon in Gebrauch, beträgt die Auslastung etwa 85,1 %. Ein Alarmschwellenwert von 80 % hätte bereits die Planung für mehr Platz ausgelöst. Halte dieses Maß für das Subnetz von der Verfügbarkeit des DHCP-Pools getrennt: Ausschlüsse und Reservierungen können einen dynamischen Pool füllen, obwohl das Subnetz noch nicht zugewiesene Adressen enthält.

Den Plan mit den ermittelten Daten abgleichen

Die IP-Adresserkennung durch IPAM kann DHCP-Leases, DNS-Records und ARP-Tabellen von Routern auslesen und Subnetze durchsuchen. Vergleiche diese Sichtweisen: Eine erkannte Adresse ohne Eigentümer könnte zu einem nicht dokumentierten Gerät gehören; ein eingetragener Server, für den es aktuell keine Hinweise gibt, könnte außer Betrieb genommen worden sein. Untersuche die Abweichung, bevor du die Zuweisung änderst.

Prüfe vor der Zuweisung einer statischen Adresse den IPAM-Eintrag, DHCP-Leases und DNS. Ein fehlgeschlagener Ping ist ein unzureichender Beleg: Der aktuelle Nutzer könnte ausgeschaltet sein oder Ping blockieren. Dokumentiere nach der Zuweisung das Gerät und schütze die Zuweisung vor DHCP. Gib bei der Außerbetriebnahme die Adresse wieder frei und entferne veraltete DNS-Records, damit ein künftiger Nutzer nicht den alten Namen übernimmt.

DHCP kann DNS dynamisch aktualisieren und so die A- und PTR-Records eines Clients mit dessen Lease in Einklang halten. IPAM führt diese Einträge in einer Ansicht zusammen. Die automatische Erkennung braucht aber weiterhin einen genauen Plan und Angaben zur Zuständigkeit, um zu erklären, welche Aufgabe ein Gerät erfüllen soll.

IPv6 nimmt den Druck, jede mögliche Hostadresse in einem /64-Netz zu zählen. Die Planung bleibt dennoch nötig. Dokumentiere, welches /64-Präfix zu jedem Standort und VLAN gehört, sowie Gateways und wichtige feste Zuweisungen. Verwalte die Struktur und Zuständigkeiten des Adressraums auch dann, wenn sich einzelne Hostadressen häufig ändern.

DNS, das Domain Name System, speichert Informationen unter Namen, die in einem Baum angeordnet sind. Lies www.example.com. von rechts nach links: Die Wurzel ist der abschließende Punkt, com ist die Top-Level-Domain und example und www bezeichnen tiefere Ebenen. Ein vollständig qualifizierter Domänenname (FQDN) gibt den vollständigen Pfad bis zur Wurzel an.

Bestimmen, wer für die Antwort zuständig ist

Eine DNS-Zone ist ein verwalteter Teil dieses Baums, der auf autoritativen Nameservern liegt. Der primäre Server enthält die bearbeitbare Kopie; sekundäre Server halten schreibgeschützte Kopien vor, die sie per Zonentransfer über TCP 53 erhalten. Anhand der SOA-Seriennummer erkennen die sekundären Server eine neuere Version. Mehrere autoritative Nameserver halten Antworten verfügbar, wenn ein Server ausfällt.

Den Record-Typ vor seinem Wert lesen

Zum Beispiel ordnet "www.example.com. 3600 IN A 203.0.113.10" einem Namen eine IPv4-Adresse zu. "www.example.com. 3600 IN AAAA 2001:db8::10" liefert IPv6. In diesen Records ist 3600 die Cache-Gültigkeitsdauer in Sekunden und IN die Internetklasse.

Ein Alias wie "shop.example.com. 3600 IN CNAME www.example.com." verweist auf den Namen, nicht direkt auf dessen Adresse. Eine Abfrage folgt diesem Ziel, um eine A- oder AAAA-Antwort zu erhalten. Ein CNAME kann seinen Namen nicht mit gewöhnlichen Daten wie A-, MX-, SOA- oder NS-Records teilen. DNSSEC-Metadaten bilden eine besondere Ausnahme. Der Zonenapex benötigt SOA- und NS-Records, sodass dort kein standardmäßiger CNAME stehen kann; Alias- oder Flattening-Funktionen von Anbietern behandeln Records auf andere Weise.

Bei MX-Präferenzen gilt das Gegenteil einer Bewertung, bei der höher besser ist. Bei Präferenz 10 für mail1.example.com. und 20 für mail2.example.com. versuchen sendende Server zuerst mail1. MX-Werte müssen Hostnamen mit direkten A- oder AAAA-Records sein. MX- und NS-Ziele dürfen keine CNAME-Aliase sein.

Adresse umkehren und Caching steuern

Vorwärtsabfragen beginnen mit einem Namen, Rückwärtsabfragen mit einer Adresse. Für die IPv4-Adresse 203.0.113.25 ist der zugehörige PTR-Name 25.113.0.203.in-addr.arpa.. Die IPv6-Rückwärtsabfrage verwendet umgekehrte Hexadezimalziffern unter ip6.arpa. Das Hinzufügen eines A-Records erstellt keinen PTR-Record, sofern dies nicht eine Aktualisierungsfunktion übernimmt.

Die Cache-Gültigkeitsdauer (TTL) ist die maximale normale Speicherdauer im Cache in Sekunden: 300 sind 5 Minuten, 3600 eine Stunde und 86400 ein Tag. Senke vor einer Adressänderung die TTL von 86400 auf 300 und warte mindestens die alte TTL von einem Tag ab. Ändere dann die Adresse, damit gewöhnliche Caches sie innerhalb von 5 Minuten aktualisieren, und erhöhe nach dem Umzug die TTL wieder.

In einer Zonendatei ist ein Name ohne abschließenden Punkt relativ zur aktuellen Zone. Steht mail.example.com in der Zone example.com, entsteht mail.example.com.example.com. Verwende mail.example.com. für den vollständigen Namen oder den relativen Namen mail.

Ein Computer kontaktiert normalerweise nicht jeden DNS-Server selbst. Sein Stub-Resolver bittet einen rekursiven Resolver, die Antwort zu beschaffen. Der Resolver hat entweder eine nutzbare Antwort im Cache oder kontaktiert die Server, die für Teile des Namens autoritativ sind.

Auf dem Client beginnen

Zu den lokalen Quellen gehören die hosts-Datei und der DNS-Cache des Clients. Ein hosts-Eintrag kann DNS für diesen Computer übersteuern. Der Windows-Pfad lautet C:\Windows\System32\drivers\etc\hosts; Linux und macOS verwenden /etc/hosts. Ein vergessener Testeintrag kann erklären, warum ein Computer einen alten Server erreicht, während alle anderen funktionieren.

Der Client erfährt die Adresse seines Resolvers über DHCP-Option 6 oder eine manuelle Konfiguration. Seine Anfrage ist rekursiv: Er bittet den Resolver um die endgültige Antwort. Der Client überträgt ihm die Suche und fragt nicht nach dem Weg zum nächsten DNS-Server.

Von der Wurzel zum Namen vorgehen

Bei einer Abfrage von www.example.com mit leeren Caches:

1. Der Client fragt seinen rekursiven Resolver.
2. Der Resolver fragt einen Root-Server, der ihn an die com-Server verweist.
3. Ein com-Server verweist ihn an die autoritativen Nameserver für example.com.
4. Ein Domänenserver gibt "A 203.0.113.10" mit TTL 3600 zurück.
5. Der Resolver speichert diese Antwort im Cache und gibt sie an den Client zurück.

Die Anfragen des Resolvers entlang der Hierarchie sind iterativ: Jeder Server liefert seine bestmögliche Antwort oder einen Verweis. Die Wurzel hält nicht die Adressen aller Websites vor. Es gibt 13 Root-Server-Identitäten mit den Namen a bis m, die jeweils von vielen physischen Systemen mit Anycast-Adressen bereitgestellt werden.

Der nächste Client kann die zwischengespeicherte Antwort erhalten, ohne diese Suche zu wiederholen. Ein Werkzeug kann sie als "Non-authoritative answer" kennzeichnen. Das bezeichnet die Quelle der Antwort und keinen Fehler. Auch Verweise und negative Antworten werden zwischengespeichert. Ein NXDOMAIN-Ergebnis kann daher sichtbar bleiben, nachdem ein fehlender Name hinzugefügt wurde, bis die Cache-Gültigkeitsdauer der negativen Antwort abläuft.

Weiterleitung verwenden, wenn ein anderer Resolver suchen soll

Ein Resolver kann unbeantwortete Anfragen an einen vorgeschalteten Resolver über eine Weiterleitung senden, damit dieser die Suche durchführt. Eine bedingte Weiterleitung sendet Anfragen für eine bestimmte Domäne an festgelegte Server. Ein Unternehmen kann zum Beispiel die interne Domäne eines Partners an dessen Resolver weiterleiten und gewöhnliche öffentliche Namen an anderer Stelle abfragen.

Vertraulichkeit und Authentizität unterscheiden

Gewöhnliches DNS verwendet UDP oder TCP auf Port 53. Die meisten kleinen Abfragen nutzen UDP; Zonentransfers und viele große Antworten nutzen TCP. DNS over TLS (DoT) verschlüsselt die Verbindung zwischen Client und Resolver über TCP 853. DNS over HTTPS (DoH) überträgt Abfragen über HTTPS auf Port 443 und kann eine Filterung umgehen, die nur gewöhnliches DNS überwacht.

DNSSEC ermöglicht dagegen einem validierenden Resolver, Signaturen zu prüfen und veränderte oder gefälschte DNS-Daten zu erkennen. Es verschlüsselt weder Anfragen noch Antworten. Verschlüsselung schützt den Übertragungsweg; signierte Daten unterstützen die Prüfung der Authentizität.

Nach einer Adressänderung veröffentlichen autoritative Nameserver die neuen Daten, übertragen sie aber nicht aktiv in jeden Resolver-Cache. Nutzer können vorübergehend unterschiedliche Antworten erhalten, weil ihre zwischengespeicherten Kopien unterschiedliche Restlaufzeiten haben. Diese Cache-Gültigkeitsdauer erklärt die übliche Verzögerung, die als „DNS-Ausbreitung“ bezeichnet wird.

Beginne mit der genauen Fehlermeldung. „Host konnte nicht gefunden werden“ bedeutet, dass eine Namensabfrage fehlgeschlagen ist. „Verbindung abgelehnt“ nach einer erfolgreichen Abfrage weist auf eine andere Ursache hin. Der Test einer bekannten Adresse und anschließend ihres Namens hilft, Namensauflösung und Zugriff auf das Ziel zu unterscheiden.

Wenn ping 203.0.113.10 funktioniert, aber ping www.example.com meldet, dass der Host nicht gefunden werden kann, untersuche die Namensauflösung. Schlagen beide fehl, prüfe Adressierung und Routing. Bedenke aber, dass auch Ping gefiltert werden kann. Ein fehlgeschlagener Ping allein belegt weder einen DNS-Fehler noch die Nichterreichbarkeit des Dienstes.

Den richtigen Server direkt abfragen

Ermittle die konfigurierten DNS-Server je nach System mit ipconfig /all, resolvectl status oder /etc/resolv.conf. Vergleiche dann Abfragen:

nslookup www.example.com
nslookup www.example.com 192.0.2.53
nslookup -type=MX example.com
dig @192.0.2.53 example.com MX
dig -x 203.0.113.25
dig +trace www.example.com
Resolve-DnsName www.example.com -Type AAAA

Die erste Abfrage testet den vom Client ausgewählten Resolver; eine ausdrücklich angegebene Serveradresse testet einen gewählten Resolver oder autoritativen Nameserver. dig +trace folgt den Verweisen. Eine erfolgreiche direkte Abfrage bei gleichzeitig fehlgeschlagener Anwendungsabfrage deutet auf lokale Einstellungen, den Cache oder die hosts-Datei hin.

Die Antwort interpretieren

SERVFAIL kann auf einen nicht erreichbaren autoritativen Nameserver oder eine fehlgeschlagene DNSSEC-Validierung folgen. REFUSED ist anders: Ein erreichbarer Server erlaubt rekursive Abfragen möglicherweise nur für interne Clients. In dig kennzeichnet das Flag aa eine autoritative Antwort.

Alte und neue Daten vergleichen

Angenommen, ein Server ist von 203.0.113.10 auf 203.0.113.80 umgezogen. Der autoritative Nameserver gibt .80 zurück, während der Büro-Resolver .10 mit einer Restlaufzeit der alten TTL von 86400 Sekunden liefert. Die Änderung ist veröffentlicht; der Büro-Cache ist veraltet. Warte den Ablauf ab oder leere die betroffenen Resolver- und Client-Caches. ipconfig /flushdns leert den Windows-Client-Cache, nicht jeden vorgeschalteten Cache. Eine vorherige Senkung der TTL vermeidet bei einem geplanten Umzug eine lange Wartezeit.

Wenn nur ein Computer abweicht, prüfe seine hosts-Datei und seinen lokalen Cache. Wenn autoritative Nameserver unterschiedliche Antworten geben, vergleiche die SOA-Seriennummern: Eine geänderte primäre Zone mit unveränderter Seriennummer wird möglicherweise nicht an sekundäre Server übertragen.

Fehlerhafte Dienste und ihre Records prüfen

Ein falscher A-Record betrifft IPv4. Ein falscher oder nicht nutzbarer AAAA-Record kann IPv6-Verbindungen verzögern, selbst wenn IPv4 funktioniert; ein reiner IPv4-Server benötigt keinen AAAA-Record. Prüfe für E-Mail die MX-Namen und ihre direkten A- oder AAAA-Records. Ohne MX können sendende Server die eigenen Adress-Records der Domäne versuchen. Ein fehlender PTR-Record kann die Annahme von E-Mails beeinträchtigen und erschwert das Lesen von Protokollen.

Lasse schließlich sowohl UDP als auch TCP 53 zu, wo gewöhnliches DNS sie benötigt. Eine Firewall, die nur UDP erlaubt, kann kleine Antworten durchlassen, aber große Antworten und Zonentransfers verhindern.

Eine gemeinsame Zeit macht Ereignisse vergleichbar. Protokolliert ein Switch einen Portausfall und ein Router den Verlust eines Nachbarn, helfen genaue Zeitstempel, ihre Reihenfolge zu bestimmen. Die Uhrzeit beeinflusst auch die Gültigkeit von Zertifikaten und die Authentifizierung: Kerberos in Active Directory erlaubt standardmäßig nur 5 Minuten Uhrzeitabweichung.

Die Uhrenhierarchie verstehen

NTP, das Network Time Protocol, tauscht Pakete mit Zeitstempeln über UDP 123 aus. Vier Zeitstempel ermöglichen dem Client, seine Uhrzeitabweichung und die Netzwerkverzögerung zu schätzen. Er fragt wiederholt ab, üblicherweise in Abständen von 64–1.024 Sekunden. Kleine Korrekturen erfolgen meist durch schrittlose Zeitkorrektur, um plötzliche Rückwärtssprünge zu vermeiden.

Ein Stratum beschreibt den Abstand zu einer Referenzuhr:

Nutzbare Netzwerk-Strata reichen von 1 bis 15. Das Stratum ist kein Genauigkeitswert: Ein naher Stratum-2-Server kann bessere Ergebnisse liefern als eine entfernte Stratum-1-Quelle, die über einen Pfad mit schwankender Verzögerung erreicht wird.

Verwende für die internen Zeitserver mehrere vorgeschaltete Quellen, idealerweise mindestens vier. So kann NTP Quellen vergleichen und eine falsche Quelle verwerfen. Andere Netzwerkgeräte können sich mit diesen internen Servern synchronisieren. Das begrenzt den externen Verkehr und hält die lokale Zeitleiste einheitlich.

Einen Client konfigurieren und überprüfen

Unter Cisco IOS wählt ntp server 192.0.2.123 einen vorgeschalteten Server; mit prefer wird eine bevorzugte Quelle markiert. Ein synchronisiertes Gerät kann anschließend Zeitanfragen anderer Geräte beantworten. ntp master 4 kündigt dagegen die eigene Uhr des Routers als Stratum-4-Quelle an. Wird die Zahl weggelassen, ist Stratum 8 der Standardwert. Verwende eine solche lokale Referenz nur, wenn keine bessere Quelle existiert, etwa in einem isolierten Labor.

Prüfe mit show ntp status die Synchronisierung und das lokale Stratum. Hat der vorgeschaltete Server Stratum 2, erhält der synchronisierte Client Stratum 3. In show ntp associations markiert ein Sternchen die ausgewählte Quelle. Gib einer neuen Verbindung mehrere Minuten Zeit, sich einzupendeln, bevor du den anfänglich nicht synchronisierten Zustand als dauerhaften Fehler betrachtest.

NTP verteilt UTC. Die Zeitzonen- und Sommerzeitkonfiguration des Geräts steuert die angezeigte Ortszeit. Beispielsweise legt clock timezone CET 1 unter IOS eine Standardabweichung von einer Stunde fest. Eine Abweichung um eine ganze Anzahl von Stunden deutet auf Anzeigeeinstellungen hin. Viele Organisationen protokollieren in UTC, um bei einem Vorfall Umrechnungen zwischen Standorten zu vermeiden.

Zeit schützen und benötigte Genauigkeit wählen

Die Authentifizierung mit symmetrischem Schlüssel beschränkt akzeptierte Zeitquellen auf solche, die denselben konfigurierten Schlüssel verwenden. Network Time Security (NTS) nutzt einen TLS-basierten Schlüsselaustausch über TCP 4460 und authentifiziert anschließend die NTP-Pakete, die weiterhin über UDP 123 übertragen werden. Beschränke außerdem, welche Hosts Zeitdienste abfragen oder steuern dürfen.

Precision Time Protocol (PTP, IEEE 1588) folgt einer Grandmaster-Uhr und nutzt Hardware-Zeitstempel in Netzwerkkarten und Switches, um in geeigneten lokalen Netzwerken eine Genauigkeit im Submikrosekundenbereich zu erreichen. Es erfüllt Anforderungen etwa in Mobilfunknetzen und der Industriesteuerung, wo die Zeitgenauigkeit gewöhnlichen NTPs im Millisekundenbereich nicht ausreicht. PTP kann über Ethernet oder IP laufen; die IP-Übertragung verwendet UDP 319 für Ereignisnachrichten und UDP 320 für allgemeine Nachrichten. SNTP ist eine einfachere NTP-Implementierung für Clients mit geringeren Anforderungen an die Zeitgenauigkeit.

SNMP, das Simple Network Management Protocol, ermöglicht einem überwachenden SNMP-Manager, Daten von einem SNMP-Agenten auf einem Gerät zu lesen. Die Daten werden durch eine Management Information Base (MIB) beschrieben. Jedes Objekt hat eine Objektkennung (OID), einen durch Punkte getrennten Pfad in einem Baum. Beispielsweise bezeichnet 1.3.6.1.2.1.1.5.0 den Wert sysName; 1.3.6.1.2.1.1.3.0 bezeichnet sysUpTime. Herstellerobjekte liegen unter dem enterprises-Zweig 1.3.6.1.4.1.

Regelmäßige Abfragen mit Meldungen kombinieren

Der Agent lauscht für Anfragen auf UDP 161. Der Manager empfängt Traps und Informs auf UDP 162.

Ein Manager kann Datenverkehr, CPU und Arbeitsspeicher alle 5 Minuten abfragen, um Diagramme zu erstellen. Ein Trap kann eine ausgefallene Verbindung sofort melden. Nutze beides: Traps können über UDP verloren gehen und ein ausgefallenes Gerät kann möglicherweise keine Meldung mehr senden. Informs werden gemäß den Einstellungen für Zeitüberschreitung und Wiederholung erneut gesendet, können aber nach Ausschöpfen der Wiederholungen trotzdem scheitern.

Eine sichere Version wählen

SNMPv1 und v2c senden einen Community-String im Klartext. Schreibgeschützter Zugriff (RO) erlaubt das Lesen; lesender und schreibender Zugriff (RW) erlaubt außerdem unterstützte Änderungen. Version 2c ergänzt GetBulk, Informs und High-Capacity-Zähler. SNMPv3 verwendet Konten mit den Sicherheitsstufen noAuthNoPriv, authNoPriv und authPriv. Bevorzuge authPriv, das Meldungen authentifiziert und verschlüsselt, sofern es unterstützt wird.

Eine IOS-v2c-Konfiguration kann mit snmp-server community N3tM0n-RO RO 10 den Lesezugriff anhand von ACL 10 beschränken. snmp-server host 192.0.2.50 version 2c N3tM0n-RO wählt den Empfänger der Benachrichtigungen und snmp-server enable traps aktiviert Traps. Ein v3-Beispiel ist:

snmp-server group NMS v3 priv
snmp-server user monitor NMS v3 auth sha <auth-password> priv aes 128 <priv-password>

Vermeide Standard-Communities wie "public" und "private", beschränke den Zugriff auf Verwaltungs-Hosts und gewähre Schreibzugriff nur bei Bedarf. SNMP stellt MIB-Objekte bereit; es ist keine entfernte Befehlsshell.

Eine Zähleränderung in Auslastung umrechnen

Zähler messen aufsummierte Byte, auch Oktette genannt. Angenommen, ifHCInOctets steigt in 300 Sekunden von 18.250.000.000 auf 19.750.000.000:

1. Subtrahiere die Messwerte: 1.500.000.000 Byte sind eingetroffen.
2. Multipliziere mit 8: 12.000.000.000 Bit sind eingetroffen.
3. Dividiere durch 300 Sekunden: 40.000.000 bit/s oder 40 Mbit/s.
4. Dividiere durch die Verbindungsrate von 100 Mbit/s: Die eingehende Auslastung betrug durchschnittlich 40 %.

Dies ist ein Durchschnitt über das Intervall, sodass kurze Spitzen höher liegen können. Wird der Faktor für die Umrechnung von Byte in Bit vergessen, ist die berechnete Rate achtmal zu klein.

Ein 32-Bit-Zähler erreicht 4.294.967.295 und springt dann auf null zurück. Bei 1 Gbit/s läuft er nach etwa 34 Sekunden über, sodass ein Abfrageintervall von 5 Minuten mehrere Überläufe übersehen kann. Verwende für schnelle Verbindungen die 64-Bit-Zähler ifHCInOctets und ifHCOutOctets, die von v2c und v3 unterstützt werden. Prüfe die Kontinuität des Zählers, bevor du eine negative Differenz als negativen Datenverkehr deutest.

Syslog sendet Ereignismeldungen an eine zentrale Sammelstelle. Die zentrale Sammlung bewahrt Belege über Geräteneustarts hinweg und ermöglicht einer Fachkraft, mehrere Geräte gemeinsam zu durchsuchen. Ein System für Sicherheitsinformationen und Ereignismanagement (SIEM) kann diese Einträge nutzen, um Ereignisse miteinander zu verknüpfen.

Herkömmliches Syslog verwendet UDP 514. Die TCP-Übertragung bietet Zustellbestätigungen auf der Transportschicht; TLS über TCP 6514 schützt außerdem die Verbindung. Auch eine zuverlässige Übertragung benötigt eine funktionierende Sammlung und Speicherung. Prüfe daher, ob Meldungen tatsächlich ankommen.

Die Schweregradschwelle richtig lesen

Syslog-Stufen reichen von 0 bis 7, wobei kleinere Zahlen einen höheren Schweregrad bedeuten:

Eine konfigurierte Schwelle umfasst diese Stufe und alle höheren Schweregrade. logging trap warnings sendet die Stufen 0–4, nicht nur Stufe 4. Der IOS-Standard für die entfernte Protokollierung ist informational, also die Stufen 0–6. Die Aktivierung von Debugging sendet alle Stufen und kann viel Datenverkehr und Verarbeitungsaufwand erzeugen.

Facility und Schweregrad unterscheiden

Die Syslog-Facility bezeichnet eine Quellenkategorie. Beispiele sind kern (0), user (1), mail (2) und auth (4). Local0 bis local7, die Codes 16–23, stehen für die lokale Nutzung zur Verfügung; Cisco-Geräte verwenden standardmäßig local7. Eine Sammelstelle kann Meldungen von Netzwerkgeräten anhand dieses Codes sortieren.

Die Priorität einer Meldung kombiniert beide Felder:

Local7 mit Schweregrad 3 ergibt 187, geschrieben als "<187>". Die Zahl kodiert ein Wertepaar und ist keine eigene Schweregradskala.

Das sichtbare Cisco-Meldungsmuster lautet "%FACILITY-SEVERITY-MNEMONIC: description". In "%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down" bezeichnet LINEPROTO die IOS-Funktion, 5 bedeutet Notice und UPDOWN bezeichnet das Ereignis. Dieser Funktionsname unterscheidet sich von der übermittelten Facility local7. "%SYS-5-CONFIG_I: Configured from console by admin on vty0" dokumentiert eine Konfigurationsänderung.

Ziele wählen und Zeitstempel abstimmen

Ziele haben separate Einstellungen. logging buffered 16384 informational verwaltet einen Speicherpuffer, der mit show logging ausgelesen wird. logging host 192.0.2.50 wählt eine Sammelstelle. logging trap warnings legt deren Schwelle fest. In einer entfernten Terminalsitzung zeigt terminal monitor überwachte Meldungen an. Debug-Ausgaben an die Konsole können die CPU eines stark ausgelasteten Geräts überlasten.

Verwende service timestamps log datetime msec, um Datum und Zeitstempel mit Millisekunden hinzuzufügen, und NTP, um Uhren zu synchronisieren. Ein Portausfall um 10:42:13,208 Uhr, der Verlust eines Router-Nachbarn um 10:42:13,350 Uhr und die Rückkehr des Ports um 10:42:17,511 Uhr bilden eine aussagekräftige Abfolge. Sie deuten auf ein damit zusammenhängendes Verbindungsproblem hin, das untersucht werden sollte; für sich genommen weisen sie kein defektes Kabel nach. Ohne gemeinsame Zeit kann die scheinbare Reihenfolge lediglich eine Uhrzeitabweichung widerspiegeln.

Ein Sprachanruf und eine Dateiübertragung reagieren unterschiedlich auf Überlastung. Eine Datei kann warten, während TCP fehlende Daten erneut sendet. Ein Gespräch leidet, wenn Pakete verspätet, ungleichmäßig oder gar nicht ankommen. Quality of Service (QoS) ermöglicht dem Netzwerk, unterschiedliche Datenverkehre unterschiedlich zu behandeln.

Den Dienstbedarf bestimmen

Vier Eigenschaften sind wichtig: Bandbreite, die pro Sekunde gesendete Datenmenge; Verzögerung, die Übertragungszeit von Ende zu Ende; Jitter, die Schwankung dieser Verzögerung; und Verlust, der Anteil verworfener Pakete. Übliche Zielwerte für Sprache sind höchstens 150 ms Verzögerung in einer Richtung, 30 ms Jitter und 1 % Verlust. Das sind Planungsziele für nutzbare interaktive Sprachkommunikation und keine zusätzliche Kapazität, die eine Richtlinie erzeugt.

QoS ist ein Verhalten pro Hop (PHB). Jeder Router oder Switch wendet seine eigene Richtlinie an. Ein für Priorität markiertes Paket benötigt dennoch an jedem überlasteten Hop eine Erkennung und Bedienung seiner Klasse. Warteschlangenprioritäten ändern bei konkurrierendem Datenverkehr die Bedienreihenfolge; Klassifizierung, Markierung und Ratenbegrenzungen können auch auf einer nicht überlasteten Verbindung wirken.

Zuerst klassifizieren, dann markieren

Die Klassifizierung erkennt Datenverkehr anhand von Adressen und Ports, einer eingehenden Schnittstelle, einer vorhandenen Markierung oder Anwendungserkennung wie Cisco NBAR. Die Markierung schreibt einen Wert in einen Frame oder ein Paket, damit spätere Geräte dessen Klasse einfach erkennen können.

DSCP belegt sechs Bit des ToS-Byte von IPv4 oder des Traffic-Class-Felds von IPv6. Die verbleibenden zwei Bit sind ECN, Explicit Congestion Notification. CoS kann in einem Frame, der ohne VLAN-Tag gesendet wird, nicht vorkommen.

Gängige DSCP-Werte entschlüsseln

Best Effort ist 0. Expedited Forwarding (EF) ist 46, binär 101110, und wird häufig für Sprachdaten verwendet. Assured Forwarding (AFxy) bezeichnet die Klasse x von 1–4 und die Verwerfungspriorität y von 1–3:

Somit sind AF11, AF21, AF31 und AF41 gleich 10, 18, 26 und 34. Für AF32 berechnest du 8 mal 3 plus 2 mal 2 und erhältst 28. Innerhalb der Klasse 4 hat AF43 (38) eine höhere Verwerfungspriorität als AF42 (36), das wiederum höher liegt als AF41 (34). Eine höhere Verwerfungspriorität bedeutet, dass Pakete bei Überlastung eher verloren gehen, nicht dass sie besser geschützt sind. Die konfigurierte Richtlinie legt die Ressourcen zwischen verschiedenen AF-Klassen fest.

Class Selectors verwenden ihre Nummer mal 8: CS3 ist 24 und wird häufig für die Anrufsignalisierung genutzt; CS6 ist 48 und wird häufig für Routingverkehr genutzt.

Entscheiden, welchen Markierungen vertraut wird

An einer Vertrauensgrenze entscheidet das Netzwerk, welche eingehenden Markierungen es berücksichtigt. Ein Access-Switch kann einem IP-Telefon vertrauen und gleichzeitig den Datenverkehr des angeschlossenen PCs auf Best Effort zurücksetzen. Andernfalls könnte ein Nutzer einen großen Download als EF markieren und damit mit Anrufen konkurrieren. Gewöhnliche Dienste von Internetanbietern erhalten die QoS-Behandlung eines Kunden im Allgemeinen nicht durchgehend aufrecht.

Berücksichtige bei der Dimensionierung der Sprachkapazität die Header. Ein G.711-Anruf, der 50 Pakete pro Sekunde mit je 160 Byte Sprachdaten und 40 Byte Header sendet, verwendet 200 Byte pro Paket. Die Multiplikation mit 8 und anschließend mit 50 ergibt 80.000 bit/s oder 80 kbit/s pro Richtung. 20 Anrufe benötigen auf der IP-Schicht vor dem Schicht-2-Overhead 1,6 Mbit/s in jede Richtung.

Überlastung beginnt, wenn Pakete schneller eintreffen, als eine Schnittstelle sie senden kann. Ein LAN mit 1 Gbit/s, das ein WAN mit 100 Mbit/s speist, kann diesen Engpass verursachen, selbst wenn das LAN kaum ausgelastet ist. Wartende Pakete gelangen in eine Ausgangswarteschlange; ihre Wartezeit erhöht die Verzögerung.

Das nächste zu sendende Paket auswählen

FIFO, First In, First Out, sendet Pakete in der Reihenfolge ihres Eintreffens. Class-Based Weighted Fair Queuing (CBWFQ) gibt Verkehrsklassen bei Überlastung Mindestanteile an der Bandbreite. Low-Latency Queuing (LLQ) ergänzt eine strenge Prioritätswarteschlange für verzögerungsempfindlichen Datenverkehr und schützt andere Klassen durch eine konfigurierte Begrenzung.

In einem WAN mit 100 Mbit/s könnte eine Richtlinie Sprache eine Prioritätsklasse mit 10 Mbit/s zuweisen, Geschäftsanwendungen 30 % garantieren und den Rest dem übrigen Datenverkehr überlassen. Eine Bandbreitengarantie ist bei Konkurrenz ein Mindestanteil, aber nicht zwingend ein Maximum, wenn andere Klassen frei sind. Die Prioritätsbegrenzung verhindert, dass Datenverkehr der Sprachklasse die gesamte überlastete Verbindung belegt.

Pakete verwerfen, bevor alle Warteschlangen gleichzeitig volllaufen

Tail Drop verwirft neu eintreffende Pakete, wenn eine Warteschlange voll ist. Erleben viele TCP-Datenströme diesen Verlust gleichzeitig, können alle gleichzeitig langsamer und später wieder schneller werden. Diese globale Synchronisierung verschwendet Kapazität.

Weighted Random Early Detection (WRED) beginnt, ausgewählte Pakete zu verwerfen, bevor die Warteschlange voll ist. Datenströme verringern dann ihre Rate zu unterschiedlichen Zeitpunkten. Eine DSCP-berücksichtigende Richtlinie kann AF13 eher verwerfen als AF11, weil beide zur Klasse 1 gehören, AF13 aber eine höhere Verwerfungspriorität hat. UDP-Sprachverkehr senkt seine Senderate bei einem solchen Verlust nicht, sodass WRED für die Prioritätswarteschlange von Sprache nicht üblich ist.

Policing und Shaping unterscheiden

Ein Anbieter kann Datenverkehr durch Policing auf die vertraglich zugesicherte Datenrate (CIR) begrenzen. Lastspitzen über dem vertraglichen Wert können verworfen werden, selbst wenn der physische Port schneller ist. TCP kann ein Sägezahnmuster zeigen, während es sich erholt und erneut gedrosselt wird.

Ein Shaper puffert Lastspitzen lokal und gibt Datenverkehr mit der konfigurierten Rate frei. Die zulässige Burst-Menge für ein Intervall beträgt:

Rechne bei 200 Mbit/s und einem Intervall von 10 ms die 10 ms in 0,010 s um. Die Multiplikation ergibt 2.000.000 Bit pro Intervall; die Division durch 8 ergibt 250.000 Byte.

Angenommen, der Standort hat eine Übergabe mit 1 Gbit/s, der Anbieter setzt aber Policing bei 200 Mbit/s ein. Begrenze den ausgehenden Verkehr des Standorts durch Shaping auf 200 Mbit/s und wende die Sprachwarteschlange innerhalb dieses Shapers an. Die Wartezeit entsteht dann dort, wo der Standort die Priorität steuert, bevor der Anbieter überschüssige Pakete verwirft.

Die Richtlinie anwenden und prüfen

Unter IOS erkennt eine class-map den Datenverkehr, eine policy-map definiert Aktionen und service-policy wendet die Richtlinie auf eine Schnittstelle und eine Richtung an. Eine Warteschlangenrichtlinie ändert die Konkurrenz nur bei Überlastung. Policing und Shaping setzen ihre konfigurierte Rate auch auf einer ansonsten freien Verbindung durch. Übermäßig große Warteschlangen können die Sprachverzögerung verschlimmern, weil sie die Wartezeit erhöhen.

Ein Proxy empfängt eine Anfrage und stellt eine separate Anfrage an deren Ziel. Der Client verbindet sich mit dem Proxy und der Proxy verbindet sich weiter. Diese Aufgabe auf Anwendungsebene ermöglicht ihm, Anfragen zu filtern, zwischenzuspeichern oder weiterzuleiten. NAT schreibt dagegen Adressen in Paketen um, ohne als Server zur Bearbeitung der Anwendungsanfrage aufzutreten.

Fragen, wen der Proxy vertritt

Ein Forward-Proxy kann Nutzern einer Organisation einen kontrollierten Internetausgang bieten. Ein Reverse-Proxy kann www.example.com unter 203.0.113.10 veröffentlichen und Anfragen gleichzeitig an interne Server wie 10.1.1.21 und 10.1.1.22 weiterleiten. Wen der Proxy vertritt, ist der entscheidende Unterschied.

Client-Verkehr konfigurieren oder abfangen

Ein expliziter Proxy ist dem Client bekannt. Seine Adresse und sein Port, etwa 10.0.0.8 auf 3128 oder 8080, können manuell eingetragen, durch Verwaltungssoftware verteilt oder über eine PAC-Datei zur automatischen Proxy-Konfiguration ausgewählt werden. WPAD hilft, die Proxy-Konfiguration automatisch zu finden. Diese Portnummern werden häufig gewählt, sind aber keine allgemeine Anforderung für alle Proxys.

Ein transparenter Proxy empfängt Datenverkehr, den das Netzwerk ohne Proxy-Einstellungen auf dem Client umleitet. Er kann dennoch ein Forward-Proxy sein, weil er für Clients handelt. Ob der Client den Proxy kennt und wen der Proxy vertritt, sind zwei unterschiedliche Vergleiche.

Verstehen, was mit HTTPS geschieht

Bei einem expliziten Proxy kann ein Client eine CONNECT-Anfrage senden. Der Proxy baut einen Tunnel auf, durch den verschlüsselter Datenverkehr fließt. Der Proxy kann das angefragte Ziel sehen, aber das Tunneling allein legt den geschützten HTTP-Inhalt nicht offen.

Um diesen Inhalt zu prüfen, muss der Proxy eine TLS-Interception durchführen. Er erstellt separate geschützte Verbindungen und legt Zertifikate vor, die von der Zertifizierungsstelle der Organisation signiert wurden. Clients müssen dieser Zertifizierungsstelle vertrauen. Anwendungen mit Certificate Pinning können dieses Ersatzzertifikat ablehnen, sodass für manche Ziele Ausnahmen von der Inspektion nötig sind. Die Entschlüsselung verändert außerdem, wer den Datenverkehr lesen kann. Datenschutz ist daher Teil der Entwurfsentscheidung.

Ein Caching-Proxy kann Antworten nur wiederverwenden, wenn HTTP-Caching-Regeln dies erlauben. Wiederholte Softwaredownloads oder statische Ressourcen können WAN-Bandbreite sparen. Persönliche oder häufig wechselnde Daten lassen sich oft nicht aus einem Cache gemeinsam nutzen. Gewöhnliche verschlüsselte Tunnel geben einem Proxy keinen Zugriff auf den Inhalt, der für eine solche Prüfung und Zwischenspeicherung nötig ist.

Einen Proxy-spezifischen Fehler diagnostizieren

Wenn das Surfen fehlschlägt, während andere Anwendungen funktionieren, prüfe Proxy-Adresse, Port und Erreichbarkeit. Schlägt die automatische Konfiguration fehl, teste den Zugriff auf die PAC-Datei. Funktionieren interne Websites nur über den Proxy nicht, prüfe die Ausnahmeregeln: Ein Muster wie *.corp.example.com kann diese Anfragen auf dem internen Pfad halten.

Für eingehende Webdienste kann ein Reverse-Proxy /api an einen Anwendungsserver und /images an einen Server für statische Inhalte senden. Verteilt er geeignete Anfragen auf mehrere Backend-Server, übernimmt er auch den Lastausgleich. Eine zentrale TLS-Terminierung vereinfacht die Zertifikatsverwaltung, während interne Verbindungen bei Bedarf erneut verschlüsselt werden können.

Ein Loadbalancer bietet Clients eine virtuelle IP-Adresse (VIP) an und sendet Datenverkehr an einen Pool von Backend-Servern. Der Client verwendet einen Dienstnamen, während der Pool Kapazität bereitstellt und einzelne Serverausfälle verkraftet. Für Wartungsarbeiten verhindert Connection Draining neue Verbindungen zu einem Server und lässt bestehende Aufgaben vor dessen Entfernung abschließen.

Den Dienst prüfen, bevor er Arbeit erhält

Ein Health Check sollte zum Dienst passen, den Clients benötigen. Ping prüft, ob ein Host antwortet, eine TCP-Prüfung, ob ein Port Verbindungen annimmt, und eine HTTP-Prüfung kann eine Seite wie /health auf Status 200 prüfen. Ein Host kann Ping auch dann beantworten, wenn sein Webprozess abgestürzt ist.

Angenommen, für shop.example.com ist die VIP 203.0.113.20 auf Port 443 und der Pool umfasst 10.1.2.11–10.1.2.13 auf Port 8080. Prüfungen laufen alle 5 Sekunden und markieren einen Server nach drei aufeinanderfolgenden Fehlschlägen als ausgefallen. Die Erkennung dauert ungefähr drei Prüfintervalle, also etwa 15 Sekunden; der tatsächliche Zeitpunkt hängt von der Planung der Prüfungen und den Zeitüberschreitungen ab. Sobald .13 ausgefallen ist, gehen neue Verbindungen an .11 und .12. Diese verbleibenden Server brauchen genügend freie Kapazität für die zusätzliche Last.

Die Verteilung der Arbeit wählen

Gewichte von 3:2:1 teilen 600 neue Verbindungen in 300, 200 und 100 auf. Bei 12, 7 und 9 aktiven Verbindungen wählt das Least-Connections-Verfahren den zweiten Server. Diese Algorithmen wählen unter geeigneten funktionsfähigen Servern, nicht unter solchen, die durch Health Checks bereits entfernt wurden.

Sitzungszustand verfügbar halten

Sitzungspersistenz führt einen Nutzer zu demselben Server zurück, wenn dieser die Sitzung speichert, etwa einen Warenkorb. Ein Cookie oder die Quelladresse kann den Nutzer identifizieren. Persistenz kann die Last ungleichmäßiger machen; fällt dieser Server aus, kann seine lokale Sitzung verloren gehen. Eine gemeinsam genutzte Datenbank oder ein Cache ermöglicht anderen Servern, die Sitzung wiederherzustellen, und verringert die Abhängigkeit von einem Backend-Server.

Ein Layer-4-Loadbalancer verwendet Adressen und Ports, um TCP- oder UDP-Verkehr zu verteilen, ohne Anwendungsinhalte zu lesen. Ein Layer-7-Loadbalancer liest Informationen wie HTTP-Hostnamen, Pfade und Cookies. Um HTTPS-Inhalte zu prüfen, terminiert er TLS, was als TLS-Offload bezeichnet wird, und kann eine neue verschlüsselte Verbindung zum Backend aufbauen.

Auch den Einstiegspunkt schützen

Ein einzelner Loadbalancer kann selbst ausfallen. Bei einem aktiv-passiven Paar steht ein Bereitschaftsgerät zur Übernahme der VIP bereit; bei einem aktiv-aktiven Entwurf bearbeiten beide Datenverkehr.

Einfaches DNS-Round-Robin veröffentlicht mehrere A-Records für einen Namen und wechselt ihre Reihenfolge. Es bietet eine einfache Verteilung, aber keine eingebauten Health Checks für Dienste und keine sofortige Entfernung zwischengespeicherter Adressen. Clients können eine ausgefallene Adresse weiterverwenden, bis Records geändert werden und Caches ablaufen. Global Server Load Balancing ergänzt DNS-Antworten um Entscheidungen anhand von Zustand und Standort; Cache-Gültigkeitsdauern bleiben jedoch wichtig.