Netzwerke für den IT-Support

Ein Netzwerk ermöglicht verbundenen Geräten, Daten auszutauschen und Ressourcen gemeinsam zu nutzen. Sein Name gibt Auskunft über seine Reichweite oder seinen Zweck. Ein Kabel, eine Funkverbindung und ein verschlüsselter Tunnel beschreiben unterschiedliche Teile dieses Gesamtbilds, sodass an einem Standort mehrere Netzwerkbezeichnungen zutreffen können.

Von einer Person zu vielen Standorten

Ein WLAN gehört zum lokalen Netzwerk; drahtlos bedeutet nicht Internet. Ein Tablet kann einen lokalen Drucker über WLAN auch während eines Internetausfalls erreichen. Der Router verbindet dieses lokale Netzwerk mit dem WAN des Anbieters. Das Internet ist das größte WAN.

Die Geräteanzahl bestimmt den Typ nicht. Drei Geräte in einer Wohnung und Hunderte Geräte an einem Bürostandort können jeweils ein LAN bilden. Frag dich bei der Einordnung eines Netzwerks, wohin seine Verbindungen führen und welchem Zweck sie dienen.

Eine eigene Unterscheidung für Speicher

Ein Speichernetzwerk (SAN) gibt Servern Zugriff auf gemeinsam genutzten Speicher in Form von Festplattenblöcken. Ein Server sieht diesen Speicher ähnlich wie ein angeschlossenes Laufwerk. Netzwerkspeicher (NAS) gibt Dateien und Ordner über das gewöhnliche LAN frei. Wer einen freigegebenen Ordner auf einem NAS öffnet, nutzt eine Dateifreigabe; allein durch Netzwerkspeicher wird das Büro-LAN nicht zum SAN.

Eine private Verbindung über ein anderes Netzwerk

Ein virtuelles privates Netzwerk (VPN) erstellt einen verschlüsselten Tunnel über ein bestehendes Netzwerk, meist das Internet. Ein Fernzugriffs-VPN verbindet das Gerät eines Benutzers mit einem Büronetzwerk. Ein Standort-zu-Standort-VPN verbindet zwei Büro-LANs. Der Tunnel schützt den Datenverkehr zwischen seinen Endpunkten davor, unterwegs gelesen oder verändert zu werden. Die Pflege der Endgeräte und die Vertrauenswürdigkeit von Websites bleiben separate Aufgaben.

Verfolge eine Verbindung in einem kleinen Unternehmen

Eine Reparaturwerkstatt hat kabelgebundene Desktop-Computer, Tablets im WLAN und ein Smartphone eines Technikers, das mit Ohrhörern gekoppelt ist. Die Desktop-Computer nutzen das LAN, die Tablets dessen WLAN und die Ohrhörer ein PAN. Eine Filiale in einer anderen Stadt erreicht die Werkstatt über ein Standort-zu-Standort-VPN, das über das Internet läuft.

Fällt der Internetzugang der Werkstatt aus, aber die lokale Dateifreigabe lässt sich noch öffnen, überträgt das LAN weiterhin lokalen Datenverkehr. Prüfe die WAN-Seite, bevor du den LAN-Switch austauschst. Verliert nur ein Mitarbeiter zu Hause den Zugriff auf Bürodateien, während gewöhnliche Websites funktionieren, lohnt sich eine Prüfung des Fernzugriffs-VPNs. Diese Bezeichnungen helfen, die betroffene Verbindung einzugrenzen, bevor jemand Einstellungen ändert.

Verfolgst du ein Paket von einem Laptop in Richtung Internet, begegnen dir mehrere Aufgaben: die Verbindung zum lokalen Netzwerk, die Übertragung innerhalb dieses Netzwerks und die Weiterleitung an andere Netzwerke. Ein Router für ein kleines Büro oder zu Hause (SOHO) übernimmt häufig alle drei, doch jede Funktion hat einen eigenen Namen.

Lokale Verbindungen und Netzwerkgrenzen

Eine Netzwerkkarte (NIC) verbindet ein Gerät über Ethernet oder WLAN. Ihre MAC-Adresse ist normalerweise 48 Bit lang und wird als 12 Hexadezimalziffern geschrieben, zum Beispiel 3C-52-82-1A-7F-09. Bei vom Hersteller zugewiesenen Adressen bezeichnet die erste Hälfte normalerweise den Hersteller. Private WLAN-Adressen können von der Hardwareadresse abweichen. Verwende deshalb für gerätebezogene Einstellungen die Adresse, die in diesem Netzwerk tatsächlich gesehen wird.

Ein Switch lernt, welche Adressen über welchen Port erreichbar sind. Er sendet Unicast-Verkehr mit bekanntem Ziel an den Zielport; Broadcasts und Datenverkehr mit unbekanntem Ziel werden an die anderen Ports desselben logischen Netzwerks verteilt. Ein alter Hub wiederholt Signale an jedem Port, sodass sich die Geräte die Kapazität teilen und Kollisionen auftreten können.

Ein nicht verwaltbarer Switch funktioniert ohne Konfiguration. Ein verwaltbarer Switch bietet Einstellungen und Überwachung. Seine virtuellen LANs (VLANs) teilen ein physisches Netzwerk in logische Netzwerke, etwa für Mitarbeiter und Gäste. Für die Kommunikation zwischen VLANs ist ein Router oder eine Firewall nötig. Ein Patchpanel leitet selbst keinen Datenverkehr weiter: Kurze Patchkabel verbinden seine Ports mit einem Switch, während die fest verlegten Wandkabel an ihrem Platz bleiben.

Strom zusammen mit Daten übertragen

Power over Ethernet (PoE) versorgt Access Points, Kameras und IP-Telefone über Twisted-Pair-Kabel mit Strom. Ein PoE-Switch liefert ihn direkt; ein Injektor speist ihn in eine einzelne Verbindung von einem gewöhnlichen Switch ein.

Ein Teil der Leistung geht im Kabel verloren. Prüfe sowohl den Standard pro Port als auch das gesamte Leistungsbudget des Switches. Drei PoE+-Access-Points und vier 802.3af-Kameras können Folgendes benötigen:

Einem Switch mit 150 W fehlen bei diesem geplanten Maximum 1,6 W. Nutze ein größeres Budget oder versorge eine Kamera über einen Injektor mit eigener Stromversorgung.

Prüfe das Gerät vor einer Änderung

Ein SOHO-Gerät vereint häufig Router, LAN-Switch, AP, Firewall, Server für die automatische Adressvergabe und Weiterleiter für Namensdienste. Ein Gateway des Anbieters kann auch das Modem enthalten. Um die WLAN-Abdeckung zu erweitern, genügt möglicherweise ein AP; der Austausch des gesamten Gateways verändert mehrere Dienste gleichzeitig. Beschrifte jedes Gerät nach den Funktionen, die es tatsächlich bereitstellt.

Ein Host ist ein Gerät mit einer Netzwerkadresse. Ein Server stellt anderen Geräten, den Clients, Dienste bereit. Serverrollen beschreiben Aufgaben, nicht unbedingt separate physische Rechner: Ein Computer kann mehrere Rollen übernehmen, und ein Dienst kann auf einer virtuellen Maschine laufen.

Ordne die Anfrage dem Dienst zu

Ein Benutzer kann eine Webseite erreichen und trotzdem eine Buchhaltungsdatenbank nicht öffnen. Diese Anfragen hängen von unterschiedlichen Diensten ab. Ermittle die ausgefallene Funktion, bevor du annimmst, dass alle Server nicht verfügbar sind.

Die Uhrzeit wird leicht übersehen. Die Authentifizierung in einer Windows-Domäne erlaubt normalerweise eine Abweichung von bis zu fünf Minuten. Ein PC, dessen Uhr neun Minuten vorgeht, kann die Anmeldung selbst bei richtigem Passwort verweigern. Die Synchronisierung mit der Zeitquelle des Netzwerks behebt die Ursache. Die richtige Uhrzeit unterstützt außerdem Zertifikatsprüfungen und ermöglicht Technikern, Ereigniszeiten zu vergleichen.

Ereignisse sammeln und Zugriff steuern

Ein Syslog-Server sammelt Meldungen von Netzwerkgeräten und Hosts, traditionell über UDP 514. Zentrale Aufzeichnungen ermöglichen einem Techniker, ein Switch-Ereignis mit einem gleichzeitigen Firewall-Ereignis zu vergleichen.

Ein AAA-Server unterstützt Authentifizierung, Autorisierung und Abrechnung: wer du bist, was du tun darfst und die Aufzeichnung deiner Aktivitäten. Ein RADIUS-Server kann WLAN-Konten von Mitarbeitern prüfen und Sitzungsaktivitäten aufzeichnen. Eine erfolgreiche Anmeldung und die Berechtigung, eine Ressource zu öffnen, sind getrennte Entscheidungen.

Netzwerk-Appliances erkennen

Ein Spam-Gateway filtert eingehende E-Mails vor der Zustellung. Ein Gerät für Unified Threat Management (UTM) vereint Funktionen wie Firewall, Angriffsabwehr, Schadsoftwareprüfung und Webfilterung. Ein Proxyserver stellt Anfragen für Clients und kann sie filtern, zwischenspeichern oder protokollieren. Ein Lastverteiler verteilt Anfragen auf Server und vermeidet Server, die ihre Zustandsprüfungen nicht bestehen. Diese Geräte können im Datenverkehrsweg liegen, selbst wenn der Computer des Benutzers einwandfrei funktioniert.

Geräte mit begrenzten Steuerungsmöglichkeiten betreuen

Ein Altsystem ist ein älteres System, das noch genutzt wird. Ein eingebettetes System ist ein in ein Gerät eingebauter Computer für eine bestimmte Aufgabe. Keine der beiden Bezeichnungen allein sagt aus, ob Updates verfügbar sind. Prüfe das Produkt und seinen Supportstatus.

SCADA-Systeme zur übergeordneten Steuerung und Datenerfassung überwachen und steuern Anlagen wie Pumpen und Fertigungsstraßen. Sind zeitnahe Updates oder ein Austausch nicht praktikabel, verringern separate, streng eingeschränkte Netzwerke die Gefährdung. Geräte des Internets der Dinge (IoT) erfassen oder beeinflussen Vorgänge in der physischen Welt: Kameras, Schlösser und Thermostate sind Beispiele. Ändere Standardpasswörter, installiere Firmware-Updates und trenne die Geräte von Geschäftscomputern. Updateversorgung und verfügbare Einstellungen unterscheiden sich je nach Produkt.

Ein Internetdienstanbieter (ISP) verbindet einen Standort mit dem Internet. Wähle einen Anschluss nach den Aufgaben der Benutzer, den am Standort verfügbaren Anschlüssen und den benötigten Geräten. Eine hohe Downloadrate allein kann über einen langsamen Upload oder eine lange Verzögerung hinwegtäuschen.

Vergleiche die Anschlussarten

Ein ONT wandelt das Glasfasersignal in eine Verbindung um, die der Router nutzen kann. Kabelinternet verwendet üblicherweise einen aufschraubbaren F-Stecker für Koaxialkabel. Ein Anschluss über eine digitale Teilnehmerleitung (DSL) verwendet den kleineren RJ11-Telefonstecker. Wenn ein Sprachdienst dieselbe DSL-Leitung nutzt, trennt ein Filter die Signale. Reicht die Glasfaser nur bis zu einem Verteilerkasten an der Straße, bleibt ein letztes Kupferleitungsstück, dessen Länge die Geschwindigkeit beeinflusst.

Bit, Byte und beide Richtungen verstehen

Bandbreite ist eine Datenrate, üblicherweise in Megabit pro Sekunde (Mbps) oder Gigabit pro Sekunde (Gbps). Dateigrößen verwenden Byte: Ein Byte enthält acht Bit. Ein Anschluss mit 100 Mbps kann ohne Berücksichtigung des Overheads höchstens etwa 12,5 Megabyte pro Sekunde (MB/s) übertragen.

Für einen Download von 1,5 GB bei 100 Mbps rechnest du die dezimale Dateigröße in Megabit um und dividierst:

Das sind im besten Fall zwei Minuten. Protokoll-Overhead und konkurrierender Datenverkehr erhöhen die tatsächliche Dauer.

Ein asymmetrischer Tarif mit 500/50 Mbps bietet bis zu 500 Mbps im Download und 50 Mbps im Upload. Ein Upload von 2 GB enthält 16.000 Megabit und dauert bei 50 Mbps mindestens 320 Sekunden. Mit der Downloadrate würdest du fälschlich 32 Sekunden erwarten. Sowohl Datensicherungen als auch das Senden von Videos nutzen Upload-Kapazität.

Verzögerung ist nicht Kapazität

Latenz misst die Verzögerung. Eine Messung des Hin- und Rückwegs wie ping gibt die Dauer für Anfrage und Antwort in Millisekunden an. Eine geringe Verzögerung hilft bei Anrufen, Spielen und der Arbeit per Remotedesktop, auch wenn deren Datenraten gering sind.

Geostationäre Satelliten umkreisen die Erde etwa 35.786 km über dem Äquator. Allein der lange Hin- und Rückweg dauert etwa 0,48 Sekunden; die typische Latenz für den Hin- und Rückweg liegt bei etwa 600 ms. Systeme in niedriger Erdumlaufbahn nutzen deutlich niedriger fliegende Satelliten und erreichen oft ungefähr 20–60 ms; die Ergebnisse hängen von Dienst und Bedingungen ab.

Ein Büro, das während des Hochladens von Datensicherungen Anrufe führt, profitiert, falls verfügbar, von symmetrischer Glasfaser. Eine abgelegene Werkstatt kann Richtfunk, Mobilfunk und Satellit anhand von Signalbedingungen und Verzögerung sowie Geschwindigkeit vergleichen. Ein zweiter Anschluss, etwa Mobilfunk als Ausweichverbindung, kann wichtige Arbeiten bei einem Ausfall der Hauptverbindung ermöglichen.

Wähle ein Kabel anhand der benötigten Geschwindigkeit, der Länge der gesamten Verbindung, der Steckverbinder, möglicher Störungen und des Installationsraums. Ein schnellerer Switch kann eine Beschränkung im Kabelweg nicht aufheben. Berücksichtige bei der Prüfung des gesamten Kanals auch Patchkabel und Steckverbinder.

Kupfer-Ethernet

Ein Twisted-Pair-Kabel hat vier Kupferaderpaare. Die Verdrillung hilft, elektrische Störungen zu vermindern. Ungeschirmtes Twisted-Pair-Kabel (UTP) eignet sich für gewöhnliche Büros. Geschirmtes Twisted-Pair-Kabel (STP) bietet zusätzliche Schirmung für Orte mit elektrischen Störungen und muss ordnungsgemäß geerdet werden.

Der 100-m-Kanal umfasst normalerweise 90 m fest verlegtes Kabel plus 10 m Patchkabel. Komponenten einer niedrigeren Kategorie verringern die Leistung, die der gesamte Kanal gewährleisten kann. Ein Cat5e-Patchkabel in einer Cat6a-Installation verhindert, dass die gesamte Strecke als Cat6a gilt, nur weil das fest verlegte Kabel diese Kennzeichnung trägt.

Ethernet nutzt einen RJ45-Stecker mit acht Kontakten. Der kleinere RJ11 dient Telefon- und DSL-Anschlüssen. Sie übertragen unterschiedliche Signale.

Jede Ader am richtigen Pin anschließen

Halte den RJ45-Stecker mit den Kontakten nach oben, der Rastnase nach unten und Pin 1 links. T568B, Pins 1 bis 8, lautet: weiß/orange, orange, weiß/grün, blau, weiß/blau, grün, weiß/braun, braun. T568A vertauscht das grüne und das orange Paar: weiß/grün, grün, weiß/orange, blau, weiß/blau, orange, weiß/braun, braun.

Derselbe Standard an beiden Enden ergibt ein gerades Kabel, das für fast alle heutigen Verbindungen genutzt wird. T568A an einem Ende und T568B am anderen ergibt die bekannte gekreuzte Belegung für ältere Verbindungen. Moderne Auto-MDI-X-Ports passen sich automatisch an. Halte den Standard des Gebäudes durchgehend ein.

Mantel und Medium passend wählen

Kabel mit Plenum-Klassifizierung begrenzen Flammenausbreitung und Rauch in Räumen zur Luftzirkulation, etwa einem Deckenhohlraum für die Luftrückführung. Eine abgehängte Decke allein kennzeichnet noch keinen Plenumbereich. Verwende die für den tatsächlichen Raum vorgeschriebene Mantelklassifizierung. Erdverlegekabel ist für die Verlegung im Boden ohne Schutzrohr ausgelegt; die Eignung für Außen- und Erdverlegung muss zum Verlegeweg passen.

Ein Koaxialkabel hat einen Mittelleiter, der von Isolierung und Schirmung umgeben ist. RG6 mit aufschraubbarem F-Stecker dient Kabelinternet und -fernsehen; RG59 und BNC-Stecker kommen in älteren Videoinstallationen vor.

Glasfaser überträgt Licht, widersteht elektrischen Störungen und vermeidet eine elektrisch leitende Verbindung zwischen Gebäuden. Singlemodefaser hat einen Kern von ungefähr 9 µm und unterstützt mit passenden Laserkomponenten lange Verbindungen. Multimodefaser hat einen Kern von 50 oder 62,5 µm und dient kürzeren Verbindungen; 10GBASE-SR erreicht etwa 300 m auf OM3 und 400 m auf OM4. Stimme die Faser und beide Transceiver aufeinander ab. ST-Stecker haben einen drehbaren Bajonettverschluss, SC-Stecker werden eingesteckt und herausgezogen, und kleinere LC-Stecker rasten ein.

Blicke niemals in ein Faserende oder einen optischen Anschluss; unsichtbares Laserlicht kann deine Augen verletzen.

Wähle für eine 70 m lange Verbindung mit 10 Gbps durch eine Decke zur Luftrückführung Cat6a mit Plenum-Klassifizierung. Für eine 400 m lange Verbindung zwischen Gebäuden eignet sich Glasfaser wegen der Reichweite und elektrischen Trennung; Singlemode lässt außerdem Spielraum für Erweiterungen. OM4 mit geeigneten optischen Komponenten für 10 Gbps erreicht 400 m, bietet aber wenig Entfernungsreserve.

Ein Kabelfehler kann ein beschädigter Leiter, ein schlechter Anschluss, ein unbekannter Verlauf oder eine Verbindung sein, die ihre Leistungsanforderung nicht erfüllt. Wähle ein Werkzeug, das die tatsächliche Frage beantwortet. Ein erfolgreicher Test ist nur im Rahmen dessen aussagekräftig, was das Werkzeug misst.

Verbindung herstellen und anschließen

Ein Abmantelwerkzeug entfernt den Mantel, ohne die Leiter einzuschneiden. Eine Crimpzange befestigt einen modularen Stecker: Die Kontakte greifen in die Adern, und die Zugentlastung hält den Mantel fest. Ein Auflegewerkzeug drückt Adern in die Kontakte von Wanddosen, Patchpaneln oder Anschlussblöcken und schneidet ihre Enden ab.

So stellst du ein T568B-Patchkabel her:

1. Entferne etwa 25 mm des Mantels, ohne die Adern einzuschneiden.
2. Ordne die Leiter nach T568B: weiß/orange, orange, weiß/grün, blau, weiß/blau, grün, weiß/braun, braun.
3. Kürze die Enden gleichmäßig auf etwa 13 mm für einen passenden Stecker.
4. Schiebe die Adern vollständig ein, sodass der Mantel innerhalb der Zugentlastung gehalten wird, und crimpe dann den Stecker.
5. Schließe das andere Ende nach demselben Standard an und prüfe das Kabel.

Verwende zum Kabel passende Steckverbinder und befolge deren Vorbereitungsanweisungen. Folge an einer Dose oder einem Patchpanel den aufgedruckten A- oder B-Kennzeichnungen. Halte die Paare bis auf etwa 13 mm an der Anschlussstelle verdrillt; lange entdrillte Abschnitte verstärken Störungen zwischen den Paaren.

Verdrahtung prüfen oder Leistung zertifizieren

Ein Kabeltester verbindet eine Haupt- und eine Ferneinheit mit gegenüberliegenden Enden. Seine Adernbelegung zeigt einen unterbrochenen Leiter, einen Kurzschluss zwischen Leitern oder eine Fehlverdrahtung. Ein einfacher Test mit acht Lämpchen belegt Durchgang und Pin-Reihenfolge. Ein Kabelzertifizierer misst Eigenschaften wie Länge, Dämpfung und Übersprechen, um einen Kanal hinsichtlich seiner Leistungsklasse zu beurteilen. Acht Lämpchen allein belegen keine Leistung von 10 Gbps.

Mit Tongenerator und Suchsonde verfolgst du ein Kabel. Schließe den Tongenerator an einem Ende an und finde mit der Sonde das zugehörige Kabel oder den Patchpanel-Port. Das Verfolgen zeigt den Verlauf; ein Test der Adernbelegung prüft die Verbindungen. Ein Loopback-Stecker führt gesendete Signale zur Empfangsseite eines Ports zurück, um die Schnittstelle lokal zu prüfen. Besteht sie diesen Test, müssen das tatsächliche Kabel und das Gerät am anderen Ende weiterhin geprüft werden.

Funksignale und laufenden Datenverkehr beobachten

Ein WLAN-Analysator zeigt Netzwerknamen, Kanäle und empfangene Signalstärke. Die Stärke wird oft als negativer dBm-Wert angegeben: −50 dBm ist stärker als −75 dBm. Etwa −67 dBm ist ein gängiger Planungszielwert für Sprache und Video; die tatsächliche Verbindung hängt auch von Störsignalen und Auslastung ab. Werte unter etwa −80 dBm führen oft zu einer unzuverlässigen Verbindung.

Ein Netzwerk-TAP kopiert den Datenverkehr einer Verbindung an einen Überwachungsport für einen Paketanalysator oder Sicherheitsmonitor. Er beobachtet den Datenverkehr; er weist Clients keine Adressen zu und repariert keine Verkabelung.

Eine unbekannte Wanddose untersuchen

An einem neu belegten Schreibtisch funktionieren ein nachweislich funktionsfähiger Laptop und ein entsprechendes Patchkabel nicht. Verfolge das Wandkabel mit einem Tongenerator bis zum Patchpanel. Prüfe die Verbindung zwischen Patchpanel und Wanddose: Ader 3 ist unterbrochen. Untersuche die betroffene Anschlussstelle und lege sie erneut auf, prüfe die Adernbelegung nochmals und verbinde dann den beschrifteten Patchpanel-Port mit dem Switch. Prüfe abschließend eine tatsächliche Netzwerkverbindung. Der Austausch des bereits geprüften Patchkabels am Schreibtisch würde den Fehler in der Installationsstrecke bestehen lassen.

Eine Adresse des Internetprotokolls Version 4 (IPv4) bezeichnet eine Schnittstelle in einem Netzwerk. Sie enthält 32 Bit und wird als 4 durch Punkte getrennte dezimale Oktette dargestellt. Jedes Oktett reicht von 0 bis 255, sodass 192.168.1.25 eine gültige Schreibweise ist und 192.168.1.300 nicht.

Ordne jeder Einstellung ihre Aufgabe zu

Der Server des Domain Name System (DNS) kann dieselbe Adresse wie das Gateway haben, weil ein Router häufig beide Dienste bereitstellt. Die Aufgaben bleiben getrennt. Geräte können ohne Gateway lokal kommunizieren; Internetdienste, die über Namen angesprochen werden, benötigen die passenden Einstellungen für Adressierung, Gateway und Namensauflösung.

Bei der Maske 255.255.255.0, auch /24 genannt, bezeichnen die ersten drei Oktette das Netzwerk. 192.168.1.37 und 192.168.1.200 gehören zum selben lokalen Netzwerk. 192.168.0.200 liegt in einem anderen Netzwerk. In diesem /24-Netzwerk bezeichnet .0 das Netzwerk, .255 ist die Broadcast-Adresse und .1 bis .254 sind die 254 Geräteadressen. Eine Adresse muss in ihrem lokalen Netzwerk eindeutig sein.

Private und besondere Adressen erkennen

Private IPv4-Bereiche sind 10.0.0.0–10.255.255.255, 172.16.0.0–172.31.255.255 und 192.168.0.0–192.168.255.255. Sie können innerhalb verschiedener Organisationen erneut verwendet werden und werden nicht über das öffentliche Internet geroutet. Ein SOHO-Router nutzt Netzwerkadressübersetzung (NAT), damit private Clients eine öffentliche IPv4-Adresse gemeinsam nutzen können. Prüfe den vollständigen Bereich: 172.20.5.4 ist privat; 172.32.0.1 liegt außerhalb davon.

127.0.0.1 ist Loopback und bezeichnet dieses Gerät selbst. Ein Ping an diese Adresse prüft die lokale Netzwerksoftware, ohne Datenverkehr durch Kabel oder WLAN zu senden.

169.254.x.x gehört zur linklokalen IPv4-Adressierung. Windows nennt die automatische Verwendung dieser Adressen APIPA. Bei einem Windows-Client, der Einstellungen automatisch bezieht, bedeutet dies meist, dass kein nutzbarer DHCP-Lease erhalten wurde. Die Adresse ermöglicht Kommunikation auf der lokalen Verbindung, bietet aber keinen gerouteten Internetzugang. Eine linklokale Adresse allein zeigt ein Symptom, nicht welches Kabel, welcher Server oder welche Einstellung es verursacht hat.

Eine tatsächliche Konfiguration auslesen

In Windows zeigt ipconfig Adresse, Maske und Gateway. ipconfig /all ergänzt DNS-Server, die physische MAC-Adresse, den DHCP-Status, den Lease und dessen Server. Nutze in macOS Systemeinstellungen > Netzwerk > Verbindung > Details; ifconfig listet Schnittstelleninformationen auf. Unter Linux listet ip addr die Adressen auf und ip route zeigt das Gateway nach „default via“ an.

Ein PC mit 192.168.1.37/24, Gateway 192.168.1.1 und DNS 192.168.1.1 hat stimmige Einstellungen. Bei einem anderen PC mit 169.254.88.14 und ohne Gateway muss der Weg zur automatischen Adressvergabe geprüft werden. Prüfe seine physische Verbindung oder WLAN-Verbindung und den DHCP-Dienst, bevor du einen neuen Lease anforderst. Bei einem falschen Gateway kann lokales Drucken weiterhin funktionieren, während externe Ziele nicht erreichbar sind.

Die meisten Clientgeräte sollten ihre Einstellungen automatisch beziehen. Manche Geräte benötigen eine vorhersehbare Adresse, damit Benutzer und Anwendungen sie finden können. Wähle eine Adressierungsmethode, die diesen Bedarf erfüllt und bei Netzwerkänderungen verwaltbar bleibt.

Wähle, wer die Einstellungen steuert

DHCP stellt Adresse, Maske, Gateway und DNS-Einstellungen bereit. Ein mobiler Laptop kann sich mit einem anderen Netzwerk verbinden und dort passende Einstellungen erhalten. Ein statischer Eintrag bleibt auf dem Gerät, bis er geändert wird. Bei einer Reservierung nutzt das Gerät weiterhin DHCP, aber der Server wird angewiesen, ihm stets dieselbe Adresse zuzuweisen.

Prüfe die Adresse, die der Server tatsächlich sieht, besonders bei WLAN-Geräten mit privaten MAC-Adressen. Ändert sich diese Kennung, passt eine bestehende Reservierung möglicherweise nicht mehr.

Eine sichere statische Adresse wählen

Angenommen, ein Router nutzt 192.168.1.1/24 und sein DHCP-Pool reicht von 192.168.1.100 bis 192.168.1.199. Ein Drucker kann 192.168.1.20 verwenden, wenn diese Adresse ungenutzt und dokumentiert ist. Trage die Maske 255.255.255.0, das Gateway 192.168.1.1 und den für das Netzwerk freigegebenen DNS-Server ein.

Prüfe alle drei Bedingungen für die Adresse:

1. Die statische Adresse gehört zum lokalen Netzwerk des Gateways.
2. DHCP wird sie keinem anderen Client zuweisen: Sie liegt außerhalb des Pools oder ist ausgeschlossen.
3. Kein anderes Gerät nutzt sie bereits.

Eine Adresse außerhalb des DHCP-Pools ist nicht unbedingt frei. Ein anderer Techniker könnte sie bereits manuell zugewiesen haben. Prüfe vor der Verwendung die Dokumentation des Standorts und die aktuell vorhandenen Geräte.

Das Symptom eines falschen Felds deuten

Eine doppelt vergebene IP-Adresse kann zeitweise Zugriffsprobleme verursachen, weil zwei Geräte dieselbe Adresse beanspruchen. Wird eine manuelle Adresse innerhalb eines aktiven DHCP-Pools gewählt, entsteht dieses Risiko, sobald der Server sie später zuweist. Verschiebe die manuelle Adresse aus dem Pool heraus oder schließe sie aus und dokumentiere die Änderung.

Eine falsche Maske verändert, welche Ziele der Client als lokal betrachtet. Ein fehlendes Gateway blockiert andere Netzwerke, während lokale Ressourcen funktionieren können. Falsche DNS-Einstellungen verhindern Namensabfragen, selbst wenn Verbindungen zu bekannten IP-Adressen noch funktionieren. Ein Laptop, auf dem eine statische Konfiguration von zu Hause eingestellt bleibt, funktioniert daher möglicherweise nicht, wenn er sich mit einem Büronetzwerk verbindet.

Einen Routeraustausch durchführen

Ein alter Router nutzte 192.168.0.x; sein Ersatz nutzt 192.168.1.x. Ein Drucker, der noch fest auf 192.168.0.50/24 eingestellt ist, befindet sich für die PCs nun im falschen Netzwerk. Übernimm entweder den alten LAN-Bereich auf dem Ersatzrouter oder gib dem Drucker eine ungenutzte Adresse aus dem neuen Bereich. Aktualisiere die Druckeranschlüsse der PCs, wenn sich seine Adresse ändert. Wiederholtes Verlängern der Leases der PCs ändert nichts an einem manuell konfigurierten Drucker.

Ein DHCP-Server stellt Clients automatisch IP-Einstellungen bereit. In einem kleinen Netzwerk ist er häufig Teil des Routers. Der Server verwaltet Adressen für ein Netzwerk und stellt Optionen wie Subnetzmaske, Standardgateway, DNS-Server und Lease-Dauer bereit.

DORA nachvollziehen

Ein neuer IPv4-Client nutzt üblicherweise vier Nachrichten, für die DORA als Merkhilfe dient:

1. Discover: Der Client sendet einen Broadcast, um einen Server zu finden.
2. Offer: Ein Server bietet eine Adresse und Einstellungen an.
3. Request: Der Client bittet darum, ein ausgewähltes Angebot zu nutzen.
4. Acknowledge: Der Server bestätigt den Lease und seine Optionen.

DHCP nutzt UDP 67 am Server und UDP 68 am Client. Der erste Broadcast bleibt im lokalen Netzwerk, sofern ein Router ihn nicht weiterleitet. Ein verbundener Client kann keinen Lease von einem unerreichbaren Server beziehen, nur weil dieser anderswo in der Organisation existiert.

Genügend Adressen einplanen

Ein DHCP-Bereich verbindet einen Adressbereich mit den Optionen für dieses Netzwerk. Ein Ausschluss nimmt Adressen aus der automatischen Vergabe heraus, häufig zum Schutz manuell konfigurierter Geräte. Eine Reservierung ordnet eine Adresse der MAC-Adresse eines Clients zu.

Ein Bereich von 192.168.1.100 bis 192.168.1.199 enthält 100 Adressen, weil beide Endpunkte mitzählen. Der Ausschluss von .100 bis .109 entfernt 10, sodass 90 bleiben. Benötigen 95 neue Clients gleichzeitig Leases und hat keiner einen nutzbaren Lease, können fünf keinen erhalten. Windows-Clients können in dieser Situation auf linklokale Adressen aus 169.254.x.x ausweichen. Bei einer Erweiterung des Pools müssen statische Zuweisungen und der lokale Netzwerkbereich weiterhin berücksichtigt werden.

Zeitablauf eines Leases verstehen

Ein Lease berechtigt den Client, seine Adresse für begrenzte Zeit zu nutzen. Bei den üblichen Zeitanteilen wird ein Lease über 24 Stunden nach 12 Stunden beim ursprünglichen Server verlängert. Schlägt das fehl, versucht der Client es nach 21 Stunden bei einem beliebigen verfügbaren Server. Läuft der Lease ohne Verlängerung ab, muss er die Nutzung der zugewiesenen Adresse einstellen.

Bestehende Clients mit gültigen Leases können während eines DHCP-Ausfalls weiterarbeiten. Ein neu gestarteter Client kann einen gespeicherten, noch nicht abgelaufenen Lease häufig wiederverwenden. Neue Clients ohne nutzbare Leases fallen zuerst aus. Dass bestehende Benutzer arbeiten können, schließt DHCP als Ursache also nicht aus.

In Windows gibt ipconfig /release einen Lease auf; ipconfig /renew fordert einen an. Das Aufgeben des Leases unterbricht die Verbindung dieses Clients. Verwende diese Befehle, nachdem du geprüft hast, dass ein funktionierender Weg zum vorgesehenen DHCP-Dienst besteht.

Konkurrierende oder nicht passende Einstellungen erkennen

Ein nicht autorisierter DHCP-Server ist nicht zugelassen. Ein über einen LAN-Port angeschlossener zusätzlicher Heimrouter kann das falsche Netzwerk oder Gateway anbieten und dadurch bei verschiedenen Clients unterschiedliche Ergebnisse verursachen. Entferne den unbeabsichtigten Dienst oder konfiguriere das zusätzliche Gerät als Access Point mit deaktiviertem DHCP. Mehrere autorisierte Server sind zulässig, wenn sie zur Zusammenarbeit konfiguriert sind.

Reservierungen hängen von einer passenden MAC-Adresse ab. Eine feste private WLAN-MAC-Adresse kann reserviert werden; eine regelmäßig wechselnde passt irgendwann nicht mehr. Prüfe die Adresse, die der Router sieht, und die Privatsphäreeinstellung des Geräts für dieses Netzwerk.

DHCP kann eine korrekte Adresse und einen falschen DNS-Server bereitstellen. In diesem Fall gelingt der Lease, während Websites über ihren Namen nicht erreichbar sind. Prüfe neben der Adresse auch die übermittelten Optionen.

IPv6, das Internetprotokoll in Version 6, verwendet 128 Bit lange Adressen. Die rund 4,3 Milliarden möglichen IPv4-Adressen reichen nicht aus, um jedem Gerät eine eindeutige öffentliche Adresse zu geben. IPv6 stellt einen wesentlich größeren Adressraum bereit und läuft häufig neben IPv4.

Schreibweise lesen und verkürzen

Eine vollständige Adresse hat acht durch Doppelpunkte getrennte Gruppen aus je 4 Hexadezimalziffern. Hexadezimal verwendet 0–9 und a–f. Ausgangspunkt:

2001:0db8:0000:0000:0000:ff00:0042:8329

Entferne zunächst führende Nullen innerhalb der Gruppen:

2001:db8:0:0:0:ff00:42:8329

Ersetze dann eine zusammenhängende Folge von Nullgruppen durch :::

2001:db8::ff00:42:8329

Verwende :: höchstens einmal. Bei zweimaliger Verwendung sind die Positionen der fehlenden Gruppen nicht eindeutig. Entferne nur führende Nullen: Eine Änderung von db80 zu db8 verändert die Adresse. Erweitere eine verkürzte Adresse, indem du genügend Nullgruppen ergänzt, sodass insgesamt acht Gruppen entstehen.

Adresstypen erkennen

Eine Schnittstelle mit aktiviertem IPv6 erstellt automatisch eine linklokale Adresse. Eine solche Adresse zu haben ist normal. Eine globale Adresse bezeichnet einen globalen Geltungsbereich, aber ein funktionierender Internetzugang benötigt außerdem eine passende Route und zugelassenen Datenverkehr. Ein Gerät kann gleichzeitig eine linklokale Adresse, mehrere globale Adressen und wechselnde temporäre Adressen zum Schutz der Privatsphäre haben. Das ist kein Adresskonflikt.

Der Zusatz /64 bezeichnet häufig die Präfixlänge eines LANs. Eine Schnittstellenkennung wie %12 in fe80::1%12 bezeichnet die lokale Netzwerkschnittstelle; sie ist kein Teil der Adresse.

Herkunft der Einstellungen verstehen

Bei SLAAC kündigt der Router ein Präfix an und der Client erstellt eine Adresse. DHCPv6 kann Adressen oder andere Einstellungen einschließlich DNS-Servern bereitstellen. Routerankündigungen liefern die Informationen zum Standardrouter; das Gateway erscheint häufig als linklokale Adresse wie fe80::1.

Dual Stack bedeutet, IPv4 und IPv6 gemeinsam zu betreiben. Eine Windows-Auflistung kann eine globale IPv6-Adresse, eine linklokale IPv6-Adresse sowie IPv4- und IPv6-Gateways anzeigen. Erscheint nur eine linklokale IPv6-Adresse, kann eine gültige IPv4-Konfiguration dennoch Internetzugang bieten. Prüfe, welche Protokollfamilie eine Verbindung tatsächlich nutzt, bevor du das ganze Gerät als offline betrachtest.

IPv6 hat keine Broadcast-Adresse. Heimnetzwerke geben Geräten im Allgemeinen eigene globale IPv6-Adressen, statt NAT wie bei IPv4 zu verwenden. Die Firewall des Routers kontrolliert weiterhin eingehenden Datenverkehr; der Geltungsbereich einer Adresse und die Erlaubnis zur Verbindung sind getrennte Fragen.

Das Domain Name System (DNS) löst Namen wie www.example.com in Adressen auf. Es ist verteilt: Verschiedene Server enthalten unterschiedliche Teile einer Hierarchie. Eine funktionierende Internetverbindung und eine funktionierende Namensauflösung sind separate Voraussetzungen.

Die Hierarchie nachvollziehen

Lies www.example.com von rechts nach links. Die Wurzel leitet Anfragen an eine Top-Level-Domain (TLD) wie .com weiter. Die Server dieser TLD nennen die autoritativen Server für example.com. Die autoritativen Server enthalten die offiziellen Einträge der Domain, einschließlich untergeordneter Namen wie www.example.com.

Ein Gerät nutzt seine lokalen Namensinformationen, darunter Cache und Hosts-Datei. Benötigt es DNS, fragt es seinen konfigurierten rekursiven Resolver. Das kann ein Unternehmensserver, ein Dienst des Anbieters, ein öffentlicher Resolver oder ein über den Router erreichter Dienst sein. Der Resolver antwortet nach Möglichkeit aus dem Cache. Andernfalls folgt er den Verweisen von der Wurzel über die TLD zum autoritativen Server und gibt das Ergebnis zurück. DNS nutzt Port 53.

Zwischengespeicherte Einträge laufen ab

Die Gültigkeitsdauer (TTL) eines Eintrags begrenzt, wie lange er zwischengespeichert werden darf. Eine TTL von 3600 Sekunden erlaubt eine Stunde; 300 Sekunden erlauben fünf Minuten. Ein geänderter autoritativer Eintrag ersetzt nicht sofort Kopien, die in Caches noch gültig sind.

Verringere die TTL vor einem geplanten Umzug früh genug, damit alte zwischengespeicherte Kopien ablaufen können. In Windows leert ipconfig /flushdns den lokalen Cache, aber nicht den Cache eines Resolvers an anderer Stelle. Wiederholtes Leeren des PC-Caches kann einen externen Resolver nicht zwingen, eine Antwort zu vergessen, deren TTL noch gültig ist.

Lokale Überschreibungen und den Resolver prüfen

Die Hosts-Datei ordnet Namen lokal Adressen zu. Windows nutzt C:\Windows\System32\drivers\etc\hosts; macOS und Linux nutzen /etc/hosts. Ein Eintrag wie „203.0.113.50 intranet.example.com“ kann bewirken, dass Anwendungen auf diesem Gerät die Adresse ohne DNS-Abfrage erreichen. Erreicht nur ein PC eine alte Website, prüfe neben den Caches auch lokale Überschreibungen.

Führe nslookup www.example.com aus, um den DNS-Server und die Antwort zu sehen. „Nicht autorisierende Antwort“ bedeutet, dass der antwortende Resolver für diesen Namen nicht autoritativ ist. Er kann einen Cache genutzt oder eine neue Abfrage durchgeführt haben. Die Bezeichnung ist normal. Zum Vergleich von Resolvern sendet nslookup www.example.com 1.1.1.1 die Abfrage an einen bestimmten Server. Beachte, dass nslookup DNS abfragt; es bildet nicht das lokale Verhalten jeder Anwendung gegenüber der Hosts-Datei nach.

Namensfehler und Verbindungsfehler unterscheiden

Antwortet eine bekanntermaßen erreichbare Internetadresse auf ping, während bei einem Namen „Host nicht gefunden“ erscheint, muss die Namensauflösung untersucht werden. Prüfe den konfigurierten DNS-Server und vergleiche Abfrageergebnisse. Ein Ping-Zeitlimit allein ist nicht aussagekräftig: Ein Host oder eine Firewall kann Ping blockieren, während ein anderer Dienst funktioniert. Scheitern auch Verbindungen über Adressen, untersuche neben DNS die Verbindung selbst.

Unternehmens-PCs benötigen möglicherweise interne Namen wie fileserver.corp.example.com. Verwende die freigegebenen internen DNS-Server. Werden sie durch einen öffentlichen Resolver ersetzt, können öffentliche Abfragen wieder funktionieren, während interne Ressourcen und die Domänenanmeldung ausfallen. Standardgateway und DNS-Server sind unabhängige Einstellungen, selbst wenn ein Heimrouter beides bereitstellt.

Ein DNS-Eintrag hat einen Namen, einen Typ, eine Gültigkeitsdauer (TTL) und einen Wert. Der Typ sagt dir, was der Wert bedeutet. Lies zuerst den Typ, bevor du entscheidest, ob der Wert eine Adresse, ein anderer Name, ein E-Mail-Ziel oder ein Richtlinientext sein soll.

Hosts, Aliasse und E-Mail-Ziele finden

Ein Name kann gleichzeitig A- und AAAA-Einträge haben. Ein CNAME verweist auf einen anderen Namen, dessen Adresse anschließend aufgelöst werden muss; eine IP-Adresse als Ziel verwechselt die Eintragstypen. Ein gewöhnlicher Aliasname kann nicht zugleich eigene A-, MX- oder TXT-Daten haben.

Bei MX-Einträgen werden niedrigere Präferenzzahlen zuerst versucht. Hat example.com die Einträge 10 mail1.example.com und 20 mail2.example.com, versuchen Absender normalerweise mail1 vor mail2. Der MX-Wert ist ein Hostname mit Adresseinträgen, nicht die IP-Adresse des Mailservers. Er beschreibt den E-Mail-Empfang für die Domain, nicht den Ausgangsport, den die E-Mail-App eines Benutzers zum Versand verwenden soll.

Die drei E-Mail-Prüfungen lesen

SPF veröffentlicht in einem TXT-Eintrag für die Domain des Envelope-Absenders einer Nachricht die zugelassenen Sendesysteme. Ein Eintrag kann eine IP-Adresse und die Liste eines Anbieters enthalten. Die Endung -all kennzeichnet einen nicht passenden Absender als fehlgeschlagen; ~all kennzeichnet einen Soft Fail. Die Richtlinie des Empfängers bestimmt die endgültige Behandlung. Veröffentliche einen SPF-Richtlinieneintrag für eine Domain; mehrere SPF-Richtlinieneinträge verursachen einen Fehler.

DKIM ergänzt eine digitale Signatur mit dem privaten Schlüssel des Absenders. Der öffentliche Schlüssel wird unter einem Selektornamen wie selector1._domainkey.example.com veröffentlicht. Ein Empfänger prüft damit die signierende Domain und die signierten Teile der Nachricht. Eine gültige Signatur betrifft diese signierten Teile; sie garantiert nicht, dass die Nachricht vertrauenswürdig ist.

DMARC ergänzt den Abgleich mit der sichtbaren Absenderdomain. Mindestens ein Verfahren muss die Prüfung bestehen und zur Domain passen: SPF oder DKIM. Eine bestandene Prüfung für eine fremde Domain reicht nicht aus. Eine TXT-Richtlinie unter _dmarc.example.com kann p=none zur Überwachung, p=quarantine für eine Behandlung als verdächtig oder p=reject zur Ablehnung anfordern und ein Berichtsziel nennen. Empfänger wenden ihre eigenen Richtlinien zur Behandlung an.

Einen Anbieterwechsel begleiten

Ein Unternehmen wechselt den E-Mail-Anbieter und seine Nachrichten landen zunehmend im Spamordner. Prüfe, ob die bestehende SPF-Richtlinie den neuen Anbieter autorisiert und ob dessen DKIM-Schlüssel unter dem richtigen Selektor veröffentlicht ist. Prüfe anschließend den DMARC-Abgleich und die Berichte. Ein zweiter SPF-Eintrag behebt das Problem nicht; aktualisiere die einzige Richtlinie. Unabhängig davon ändert ein Umzug der Website A- oder AAAA-Daten. Alte zwischengespeicherte Adressen können bis zum Ablauf ihrer TTL weiter genutzt werden.

Eine IP-Adresse bringt Daten zu einem Host. Ein Transportprotokoll und eine Portnummer bezeichnen den Endpunkt des Programms auf diesem Host. Eine Firewallregel benötigt deshalb mehr als eine Adresse: TCP- und UDP-Datenverkehr mit derselben Nummer sind getrennte Fälle.

Einen Endpunkt lesen

Ein Protokoll ist ein Satz von Kommunikationsregeln. TCP und UDP übertragen Anwendungsdaten über IP. Ein Port ist eine Zahl von 0 bis 65535. Wohlbekannte Ports reichen von 0 bis 1023, registrierte Ports von 1024 bis 49151 und dynamische oder private Ports von 49152 bis 65535. Clientsoftware wählt üblicherweise einen ephemeren, also temporären Quellport aus einem hohen Nummernbereich; Betriebssysteme wählen ihre eigenen verfügbaren Bereiche.

Ein Socket besteht für ein bestimmtes Transportprotokoll aus einer IP-Adresse und einem Port. Ein Laptop könnte sich über TCP von 192.168.1.37:51544 mit einem Webserver unter 203.0.113.10:443 verbinden. Der Server antwortet an Port 51544 des Laptops. Der Client muss nicht auf 443 lauschen, nur weil der Server es tut.

Eine zweite TCP-Verbindung zwischen denselben Endpunkten von Client und Server nutzt einen anderen Quellport des Clients. Mehrere Browser-Tabs können sich auch eine Verbindung teilen; das Webprotokoll hält die Anfragen auseinander. Schließe nicht aus der Anzahl der Tabs auf die Anzahl der Transportverbindungen.

Übertragungsverhalten vergleichen

TCP nummeriert Daten und stellt fehlende Teile wieder her. Das eignet sich für Dateiübertragungen und viele Web-, E-Mail- und Fernzugriffssitzungen. UDP hat weniger eingebauten Overhead. Es eignet sich für kurze Abfragen und zeitkritischen Sprach-, Video- und Spieldatenverkehr. Trifft ein altes Sprachpaket zu spät ein, kann seine Wiedergabe weniger nützlich sein als die Fortsetzung des Gesprächs. Anwendungen können UDP um eigene Mechanismen für zuverlässige Übertragung ergänzen.

UDP als „unzuverlässig“ zu bezeichnen bedeutet, dass UDP selbst die Zustellung nicht garantiert. Es bedeutet nicht, dass die meisten Datagramme verloren gehen. TCP als zuverlässig zu bezeichnen bedeutet, dass es Fehler erkennt und Daten wiederherstellt, solange die Verbindung funktioniert; es hält eine unterbrochene Verbindung nicht unbegrenzt aufrecht.

Beide Teile einer Regel berücksichtigen

DNS nutzt für gewöhnliche Abfragen normalerweise UDP 53, verwendet aber auch TCP 53, unter anderem für große Antworten und Übertragungen zwischen Servern. Remotedesktop nutzt TCP 3389 und kann UDP 3389 ergänzen. HTTP/3 nutzt QUIC über UDP 443, sodass moderner Webverkehr nicht ausschließlich TCP verwendet.

Benötigt eine Anwendung UDP 3478, öffnet die Freigabe von TCP 3478 nicht den benötigten Weg. Prüfe Transportprotokoll, Zielport und vorgesehenen Host zusammen. Portnummern sind Standardwerte, kein Identitätsnachweis: Ein Webverwaltungsdienst kann 8443 nutzen, und andere Software kann einen vertrauten Port belegen. Ermittle neben der Nummer auch den konfigurierten Dienst.

Ports helfen dir zu erkennen, welchen Teil eines Anwendungswegs du prüfen musst. Webzugriff, E-Mail-Versand, E-Mail-Abruf, Namensabfrage und automatische Adressierung nutzen unterschiedliche Dienste. Eine erfolgreiche Verbindung für eingehende E-Mails sagt wenig über die Einstellungen für ausgehende E-Mails aus.

Webzugriff und Verbindungssicherheit

HTTP nutzt üblicherweise TCP 80 und überträgt Webverkehr unverschlüsselt. HTTPS nutzt üblicherweise TCP 443 mit TLS. TLS schützt den Datenverkehr während der Übertragung, und der Browser prüft das Zertifikat des Servers. Auch eine Phishing-Website kann ein gültiges Zertifikat haben: Verbindungssicherheit und Ehrlichkeit des Betreibers sind getrennte Fragen. HTTP/3 überträgt HTTPS über QUIC auf UDP 443.

E-Mails senden und lesen

STARTTLS erweitert eine Verbindung um TLS; implizites TLS beginnt mit Verschlüsselung. Verwende den vom Anbieter verlangten Port und Verschlüsselungsmodus zusammen. Viele Anbieter blockieren ausgehenden Verkehr über 25 an Privatanschlüssen, um Spam zu begrenzen. Ersetze die Einstellungen für die authentifizierte Einlieferung der App nicht durch den Port 25 für die Übertragung zwischen Servern.

POP3 lädt Nachrichten herunter und entfernt häufig die Kopien vom Server. Geräteinterne Ordner und Lesestatus werden nicht zwischen Geräten synchronisiert. IMAP belässt das Postfach auf dem Server und synchronisiert Ordner und Nachrichtenstatus. Es eignet sich besser, wenn ein Benutzer mit Smartphone, Laptop und Webmail arbeitet.

Funktioniert der E-Mail-Empfang, aber der Versand scheitert, prüfe SMTP-Servername, Einlieferungsport, TLS-Modus und Anmeldung. Eine Änderung des eingehenden IMAP-Ports betrifft den funktionierenden Teil des Kontos.

Einen POP3-Benutzer sorgfältig umstellen

Smartphone und Laptop eines Benutzers zeigen unterschiedliche Nachrichten und Lesestatus, weil POP3 getrennte lokale Bestände angelegt hat. Füge das Konto mit IMAP oder dem vom Anbieter unterstützten Kontotyp hinzu. Kopiere Nachrichten, die nur auf einem Gerät gespeichert sind, in das Serverpostfach und prüfe sie von einem anderen Client aus. Entferne die alte POP3-Konfiguration erst, wenn die Nachrichten sicher vorhanden sind. Wird sie zuerst gelöscht, können E-Mails verloren gehen, die sonst nirgends existieren.

Namens- und Adressdienste trennen

Das Domain Name System (DNS) nutzt Port 53, bei gewöhnlichen Abfragen meist UDP und bei Bedarf TCP. DHCP nutzt UDP 67 am Server und 68 am Client. DNS findet die Adresse zu einem Namen; DHCP stellt die eigene Konfiguration eines Clients bereit.

Gruppiere zum Lernen die Standardports nach Aufgabe: Web 80/443, E-Mail-Übertragung zwischen Servern 25, E-Mail-Download 110, Postfachsynchronisierung 143, Namensabfrage 53 und automatische IPv4-Konfiguration 67/68. Merke dir die verschlüsselten E-Mail-Ports zusammen mit den unverschlüsselten Standardports, damit die Konfiguration nicht beim bloßen Erkennen endet.

Supportarbeit umfasst häufig Fernbefehle, Remotedesktops, freigegebene Ordner oder Dateiübertragungen. Das sind unterschiedliche Aufgaben. Wähle den passenden Dienst und vermeide es, Zugangsdaten über eine unverschlüsselte Verbindung zu senden.

Fernverwaltung und Dateiübertragung

Die Datenverbindung von FTP ist von der Befehlsverbindung getrennt. Der aktive Modus nutzt Serverport 20; der passive Modus nutzt einen vom Server gewählten Datenport. Wird nur 21 geöffnet, kann daher die Anmeldung funktionieren, während Übertragungen scheitern. FTPS ergänzt FTP um TLS; SFTP ist ein anderes Protokoll, das über SSH übertragen wird. Die ähnlichen Namen machen sie in Client-Einstellungen nicht austauschbar.

Nutze SSH statt Telnet für Fernbefehle. SSH überträgt auch Dateien per SFTP und Secure Copy (SCP). Für die grafische Steuerung von Windows erreichst du RDP über ein VPN oder Remotedesktopgateway. Wird RDP direkt über eine Portweiterleitung aus dem Internet erreichbar gemacht, lädt das zu Angriffen auf den Dienst ein.

Freigegebene Dateien und ältere Windows-Netzwerke

SMB nutzt TCP 445 für Datei- und Druckerfreigaben. Ein Pfad wie \\fileserver\shared bezeichnet einen freigegebenen Ordner. Windows, macOS, Linux und NAS-Geräte können SMB nutzen. CIFS bezeichnet einen frühen SMB-Dialekt; in Gerätemenüs werden die Bezeichnungen manchmal ungenau verwendet.

Lass SMBv1 deaktiviert, weil es veraltet und unsicher ist. Scheitert eine Verbindung zu einem alten Gerät, prüfe die unterstützten Protokolle und aktualisiere oder ersetze das Gerät, statt veraltete Freigaben im gesamten Büro zu aktivieren.

NetBIOS over TCP/IP (NetBT) nutzt UDP 137 für Namen, UDP 138 für Datagramme und TCP 139 für Sitzungen, einschließlich älterer SMB-Verbindungen. Moderne Netzwerke nutzen normalerweise DNS für Namen und SMB direkt auf 445.

Verzeichnisse und gezielter Firewallzugriff

LDAP fragt Verzeichnisinformationen wie Benutzer, Gruppen und Adressbücher ab und aktualisiert sie. Sein normaler Port ist 389. LDAPS nutzt TLS auf TCP 636; LDAP kann bei entsprechender STARTTLS-Konfiguration auch auf 389 zu TLS wechseln. Ein Kopierer könnte das Verzeichnis nach E-Mail-Adressen von Mitarbeitern abfragen.

Angenommen, eine Firewall trennt Mitarbeiter- und Servernetzwerke. Für die verschlüsselte Linux-Shell eines Administrators wird TCP 22 zum vorgesehenen Server benötigt. Eine Anfrage an einen freigegebenen Ordner benötigt TCP 445 zum Dateiserver. Remotedesktops benötigen TCP 3389 von zugelassenen VPN-Clients, für bessere Leistung optional mit UDP. Nenne in jeder Regel Quelle, Ziel, Transportprotokoll und Port. Wird ein großer Bereich geöffnet, weil mehrere Aufgaben scheitern, bleibt verborgen, welcher Dienst tatsächlich benötigt wird.

WLAN ist die IEEE-Standardfamilie 802.11 für drahtlose Netzwerke. Der Generationsname gibt Auskunft über die unterstützte Technologie; Frequenzband, Kanalbreite, Clienthardware und Umgebung beeinflussen, was ein einzelnes Gerät tatsächlich erreicht.

Generationen den Frequenzbändern zuordnen

Dies sind ideale Summen über die unterstützten Datenströme, keine normalen Geschwindigkeiten für einen einzelnen Laptop. Sowohl Access Point als auch Client müssen das jeweilige Frequenzband und die Funktionen unterstützen. Ein Wi-Fi-6-Gerät erhält nicht allein deshalb Zugang zu 6 GHz, weil der Access Point Wi-Fi 6E unterstützt.

Reichweite und verfügbares Spektrum abwägen

Das 2,4-GHz-Band reicht normalerweise weiter durch Wände, teilt sich aber stark genutztes Spektrum mit benachbarten Netzwerken, Bluetooth und Mikrowellengeräten. Das 5-GHz-Band bietet mehr Kanäle und oft höhere Raten bei geringerer Reichweite. Das 6-GHz-Band bietet zusätzliches Spektrum und breite Kanäle für kompatible 6E- und Wi-Fi-7-Geräte, bei geringerer praktischer Reichweite und WPA3-Sicherheit für gewöhnliche gesicherte Netzwerke.

Die Kanalnummern bei 2,4 GHz liegen nur 5 MHz auseinander, während ein typischer Kanal etwa 20 MHz belegt. Die Kanäle 1, 6 und 11 bilden den üblichen überlappungsfreien Plan. Kanal 3 überlappt den Datenverkehr nahe 1 und 6. Einen geplanten Kanal zu teilen kann besser funktionieren, als eine teilweise Überlappung zu erzeugen.

Zu den Breiten gehören 20, 40, 80, 160 und bei Wi-Fi 7 auch 320 MHz. Breitere Kanäle erhöhen mögliche Datenraten, belegen aber mehr Spektrum und lassen weniger unabhängige Kanäle übrig. Nutze bei stark belegten 2,4 GHz eine Breite von 20 MHz; 40 oder 80 MHz passen häufig zu 5 GHz. Wähle breitere Optionen nur, wenn das verfügbare Spektrum und die Clients sie unterstützen.

Stelle Land oder Region richtig ein. Erlaubte Frequenzbänder, Kanäle und Sendeleistungen hängen von der nationalen Regulierungsbehörde ab. Einige 5-GHz-Kanäle erfordern dynamische Frequenzwahl (DFS): Der Access Point erkennt Radar und wechselt den Kanal. Übernimm keinen Kanalplan von Geräten, die für ein anderes Land eingestellt sind.

Andere Funktechnologien erkennen

Bluetooth bildet persönliche Netzwerke in der Nähe, häufig über etwa 10 m, und nutzt 2,4 GHz. Die Kopplung umfasst Erkennen, Auswählen und Bestätigen. Bluetooth Low Energy unterstützt kleine batteriebetriebene Geräte.

Nahfeldkommunikation (NFC) funktioniert über Zentimeter bei 13,56 MHz für Anwendungen durch kurzes Berühren, etwa Bezahlen oder Zutritt. RFID liest Transponder über Funk; die Entfernung hängt vom Transpondersystem ab. Passive Transponder nutzen Energie vom Lesegerät und haben keine Batterie. NFC ist eine spezialisierte RFID-Form mit kurzer Reichweite.

Versuche bei einer Kamera hinter Außenwänden wegen der Reichweite 2,4 GHz. Für einen nahe gelegenen kompatiblen Laptop, der große Dateien überträgt, können 5 oder 6 GHz besser passen. Ohrhörer nutzen Bluetooth; ein Zugangsausweis nutzt ein geeignetes RFID- oder NFC-System.

Ein Router für ein kleines Büro oder zu Hause verbindet das lokale Netzwerk mit dem Anbieter und stellt häufig WLAN, automatische Adressierung und eine Firewall bereit. Richte zuerst den physischen Verbindungsweg ein, dann Verwaltung, Interneteinstellungen und LAN. Halte die Konfiguration fest, damit ein anderer Techniker sie warten kann.

Anschließen und Verwaltung absichern

Verbinde das Modem oder den optischen Netzabschluss (ONT) mit dem WAN- oder Internetport. Schließe lokale Computer oder einen Switch an LAN-Ports an. Manche Kabelmodems merken sich das erste angeschlossene Gerät; ein Neustart des Modems nach einem Routeraustausch kann bewirken, dass es den Ersatz erkennt.

Öffne die lokale Verwaltungsadresse des Routers, die auf seinem Etikett oder in der Standardgateway-Einstellung eines Clients steht, oder nutze seine unterstützte App. Ändere das Standard-Administratorpasswort in ein starkes, einzigartiges Passwort. Nutze nach Möglichkeit die Verwaltung über HTTPS und deaktiviere die Verwaltung von der Internetseite, sofern sie nicht benötigt wird. Aktualisiere die Firmware und aktiviere automatische Updates, falls angeboten. Ersetze Geräte, die keine Sicherheitsupdates mehr erhalten.

WAN-Einstellungen des Anbieters übernehmen

Der Anbieter bestimmt das Verfahren. Wird bei einem Anschluss, der PPPoE benötigt, automatisches DHCP gewählt, kann das lokale Netzwerk funktionieren, während der Internetzugang ausfällt. Eine statische WAN-Adresse und eine statische LAN-Adresse bezeichnen unterschiedliche Seiten des Routers.

Wähle für das LAN Routeradresse und Maske, DHCP-Pool, Lease-Dauer, DNS-Optionen und Reservierungen. Halte bei 192.168.1.1/24 und einem Pool von .100–.199 außerhalb des Pools Platz für dokumentierte statische Geräte frei.

Vorgeschaltete Adressübersetzung erkennen

Doppeltes NAT entsteht, wenn ein Gateway des Anbieters ein privates LAN routet und ein zweiter Router dahinter ein weiteres. Surfen funktioniert häufig, aber eingehende Verbindungen und einige Anwendungen sind schwieriger zu betreuen. Versetze das Gateway des Anbieters in den Bridge-Modus, sofern unterstützt, oder mache das zweite Gerät zu einem Access Point. Eine geplante Weiterleitung kann über zwei lokale Router funktionieren, wenn beide konfiguriert sind.

Prüfe die WAN-Adresse, bevor du Fernzugriff einrichtest. Eine private Adresse kann auf einen vorgeschalteten lokalen Router oder eine Adressübersetzung des Anbieters hinweisen. Der gemeinsam genutzte Bereich 100.64.0.0–100.127.255.255 deutet häufig auf Carrier-Grade NAT (CGNAT) hin. Bei CGNAT kann die Weiterleitung des Kunden allein die gemeinsam genutzte Adresse des Anbieters nicht öffnen. Bitte um eine öffentliche Adresse oder nutze ein für diese Situation ausgelegtes Fernzugriffsverfahren.

Nur den vorgesehenen Dienst öffnen

Eine Portweiterleitung kann externes TCP 8443 an 192.168.1.50:443 senden. Gib dem internen Gerät eine Reservierung oder statische Adresse, damit das Ziel stabil bleibt. Eine Weiterleitung macht diesen Dienst erreichbar; nutze aktualisierte Geräte und bevorzuge für Fernzugriff ein VPN. Vermeide die weitreichende Einstellung DMZ-Host. UPnP ermöglicht Clients, Zuordnungen automatisch zu erstellen; lass es ausgeschaltet, sofern der Komfort nicht benötigt wird.

Dokumentiere WAN-Verfahren, LAN-Bereich, DHCP-Pool, Reservierungen, Weiterleitungen, Netzwerkname und den Speicherort der Zugangsdaten. Exportiere eine Konfigurationssicherung, falls unterstützt. Prüfe nach dem Speichern der Einstellungen von einem Client aus den lokalen Zugriff und den Internetzugang.

Ein nutzbares WLAN bietet passende Zugriffskontrollen und ein brauchbares Signal dort, wo Menschen arbeiten. Konfiguriere zuerst Netzwerknamen und Sicherheit, platziere dann die Access Points, wähle Kanäle und prüfe das Ergebnis an den Standorten der Clients.

Netzwerk benennen und Zugriff schützen

Die SSID ist der sichtbare Netzwerkname. Verwende einen neutralen Namen, der weder Wohnadresse, Familiennamen noch Routermodell verrät. Mehrere Access Points oder Mesh-Knoten können für den Wechsel zwischen ihnen dieselbe SSID nutzen. Band Steering hilft kompatiblen Geräten, unter einem Namen zwischen Frequenzbändern zu wählen.

SAE bedeutet Simultaneous Authentication of Equals. AES bedeutet Advanced Encryption Standard und ist das Verschlüsselungsverfahren in der Option WPA2-AES.

WPA-Modi unterscheiden sich von der Verwaltungsanmeldung des Routers. Lege eine lange, einzigartige WLAN-Passphrase und ein anderes Administratorpasswort fest. Vier oder fünf zufällige Wörter oder mindestens 16 Zeichen sind ein praktischer Ausgangspunkt. Ändere den gemeinsamen Zugang, wenn Personen, die die Passphrase kannten, sich nicht mehr verbinden sollen.

Verwende weder das veraltete WEP noch WPA mit TKIP oder ein offenes privates Netzwerk. Deaktiviere WPS, weil seine PIN-Methode die Passphrase durch Erraten angreifbar machen kann. Eine verborgene SSID lässt sich weiterhin im Funkverkehr erkennen. MAC-Filterung kann durch Kopieren einer zugelassenen Adresse umgangen werden und Geräte mit wechselnden privaten Adressen abweisen. Keine der beiden Maßnahmen ersetzt starke Verschlüsselung.

Besucher und intelligente Geräte trennen

Gib Gästen und Geräten des Internets der Dinge ein separates Netzwerk. Prüfe, ob es den Zugriff auf das Haupt-LAN blockiert; die Bezeichnung „Gast“ allein ist kein Isolationstest. Client-Isolierung verhindert außerdem, dass Gäste einander erreichen. Wenn ein Besucher surfen, aber den Dateiserver der Mitarbeiter nicht öffnen kann, könnte dies die beabsichtigte Trennung zeigen.

Das Signal dorthin bringen, wo es gebraucht wird

Platziere den Router oder Access Point zentral, erhöht und frei. Wände, Metallschränke, Spiegel und Wasser schwächen Signale. Mikrowellengeräte können 2,4 GHz stören. Ergänze Mesh-Knoten oder Access Points, wenn ein Standort das Gelände nicht abdecken kann; ein Ethernet-Backhaul überträgt den Datenverkehr zwischen ihnen, ohne dieselbe Funkzeit zu beanspruchen.

Ein Repeater mit nur einem Funkmodul empfängt und sendet erneut auf demselben Kanal und halbiert häufig ungefähr den verfügbaren Durchsatz für Clients. Platziere ihn dort, wo das ursprüngliche Signal noch nutzbar ist, nicht im Funkloch.

Kanäle messen und wählen

Ein WLAN-Analysator zeigt Netzwerke in der Nähe, Kanäle und Signalstärke in dBm an. Weniger negativ bedeutet stärker. Angenommen, Kanal 1 hat fünf Netzwerke, das stärkste bei −48 dBm; Kanal 6 hat drei, das stärkste bei −62 dBm; Kanal 11 hat eines bei −85 dBm. Kanal 11 ist die beste dieser überlappungsfreien Optionen, weil das konkurrierende Signal schwach ist. Die Anzahl der Netzwerke allein würde den Unterschied in der Stärke übersehen.

Gehe die Arbeitsbereiche ab und strebe dort, wo Anrufe stattfinden, etwa −67 dBm oder ein stärkeres Signal an. Prüfe die nutzbare Anwendungsleistung und Geschwindigkeit an mehreren Stellen. Dokumentiere SSID, Kanäle, Sicherheitsmodus und AP-Standorte, damit spätere Änderungen mit der funktionierenden Einrichtung verglichen werden können.