Netzwerktypen und Topologien sowie Netzwerkgeräte

Ein Netzwerk verbindet Geräte, damit sie Daten austauschen und Ressourcen gemeinsam nutzen können. Beim Öffnen eines freigegebenen Ordners, Drucken eines Dokuments und Laden einer Website kommunizieren jeweils Geräte miteinander, doch die Daten nehmen nicht immer denselben Weg.

Geräte, Verbindungen und Regeln

Jedes verbundene Gerät ist ein Knoten. Ein Endgerät erzeugt oder empfängt die Daten: etwa ein Laptop, Telefon, Server, Drucker oder eine Kamera. Ein zwischengeschaltetes Gerät, etwa ein Switch, Router, Access Point oder eine Firewall, leitet Daten zwischen Endgeräten weiter oder kontrolliert sie. Ein Server bleibt ein Endgerät, auch wenn er Hunderte Clients bedient.

Eine Netzwerkschnittstelle (NIC) stellt die kabelgebundene oder drahtlose Verbindung eines Geräts zu einem Medium her. Ethernet-Kupferkabel übertragen elektrische Signale; Glasfaserkabel übertragen Licht und eignen sich für längere Verbindungen oder Orte mit elektrischen Störungen. WLAN, Mobilfunk und Bluetooth nutzen Funk. Ein Laptop kann sowohl eine kabelgebundene als auch eine drahtlose Schnittstelle haben.

Geräte befolgen Protokolle, vereinbarte Kommunikationsregeln. Ethernet regelt kabelgebundene lokale Verbindungen, WLAN drahtlose lokale Verbindungen, das Internet Protocol (IP) überträgt Pakete zwischen Netzwerken und das Hypertext Transfer Protocol Secure (HTTPS) sichert Webanfragen. Gemeinsame Regeln ermöglichen die Zusammenarbeit von Geräten verschiedener Hersteller. Daten werden in kleineren Einheiten mit Quell- und Zieladressen übertragen: Frames auf lokalen Verbindungen und Pakete zwischen Netzwerken.

Zwei Adressen mit unterschiedlichen Aufgaben

Eine gewöhnliche Ethernet-MAC-Adresse hat 48 Bit, dargestellt als sechs Paare hexadezimaler Ziffern. Einer Schnittstelle wird vom Hersteller eine Adresse zugewiesen, aber Software kann eine lokal zugewiesene Adresse verwenden. Viele Telefone und Laptops nutzen private WLAN-MAC-Adressen, die sich zwischen Netzwerken unterscheiden. Wird ein Laptop in ein anderes Büro gebracht, ändert sich meist seine IP-Adresse; seine kabelgebundene MAC-Adresse bleibt normalerweise gleich. Betrachte eine MAC-Adresse nicht als unveränderliche Identität eines ganzen Computers.

Kapazität, erreichte Datenrate und Verzögerung

Die Bandbreite ist die maximale Datenrate einer Verbindung. Der Datendurchsatz ist die tatsächlich erreichte Datenrate. Die Latenz ist die Übertragungsverzögerung, meist in Millisekunden gemessen. Eine Verbindung mit hoher Bandbreite kann trotzdem eine lange Verzögerung haben, und konkurrierender Datenverkehr kann den Datendurchsatz verringern, ohne die angegebene Bandbreite zu ändern.

Netzwerkdatenraten werden in Bit pro Sekunde angegeben: 1 Mbps sind 1.000.000 Bit/s und 1 Gbps sind 1.000 Mbps. Dateigrößen werden in Byte angegeben: 1 Byte sind 8 Bit. Das kleine b und das große B sind wichtig.

Für eine Datei mit 1 GB auf einer Verbindung mit 100 Mbps:

1. Rechne Byte in Bit um: $\mathrm{1.000.000.000}\times 8=\mathrm{8.000.000.000}$ Bit.
2. Dividiere durch die Datenrate: $\mathrm{8.000.000.000}÷\mathrm{100.000.000}=80$ Sekunden.
3. Bei 1 Gbps dauert dieselbe ideale Übertragung 8 Sekunden. Overhead und anderer Datenverkehr auf der Verbindung verlängern tatsächliche Übertragungen.

Eine Verbindung mit 100 Mbps überträgt daher höchstens 12,5 MB pro Sekunde, nicht 100 MB pro Sekunde. Unterscheide außerdem WLAN von Internetzugang: WLAN verbindet mit dem lokalen Netzwerk; ein Router und ein Internetanbieter stellen den Weg darüber hinaus bereit. Lokales Drucken kann auch während eines Internetausfalls funktionieren.

Netzwerkbezeichnungen beschreiben oft Reichweite und Eigentumsverhältnisse. Beginne mit den Geräten und Standorten, die verbunden werden, und frage dann, wer die Verbindungen betreibt. Die Geschwindigkeit einer Verbindung allein verrät ihren Netzwerktyp nicht.

Von einer Person bis zu weit entfernten Büros

Dies sind praktische Kategorien mit ungefähren Grenzen. Eine Universität kann ein eigenes CAN zwischen ihren Gebäuden betreiben und eine WAN-Verbindung zu einem Forschungsstandort in einer anderen Stadt mieten. Ein schnelles WAN bleibt ein WAN. Das Internet verbindet Netzwerke weltweit und hat keinen einzelnen Eigentümer; es wird oft als größtes WAN bezeichnet.

Zwei weitere Bezeichnungen beantworten andere Fragen. Ein Storage Area Network (SAN) ist nach seiner Aufgabe benannt, Server mit gemeinsam genutztem Speicher zu verbinden. Small Office/Home Office (SOHO) beschreibt eine kleine Einrichtung, die oft um einen All-in-one-Internetrouter aufgebaut ist.

Wie entfernte Standorte verbunden werden

Eine Standleitung bietet eine dedizierte Punkt-zu-Punkt-Verbindung mit fester Bandbreite. Auch das Multiprotocol Label Switching-Netzwerk (MPLS) eines Anbieters oder Metro Ethernet kann Unternehmensstandorte verbinden. Geschäftliche Breitbandanschlüsse können Digital Subscriber Line (DSL) über Telefonleitungen, Kabel über das Fernsehnetz oder Glasfaser bis zum Gebäude nutzen. Mobilfunk mit 4G/5G und Satellitenverbindungen erreichen Orte, an denen feste Verbindungen schwierig sind, und können Ersatzverbindungen bereitstellen.

Ein virtuelles privates Netzwerk (VPN) ergänzt einen verschlüsselten Tunnel über ein anderes Netzwerk, häufig das Internet. Die physische Verbindung kommt weiterhin von einem Internetanbieter; der Tunnel schützt den Datenverkehr zwischen seinen Endpunkten. SD-WAN verwaltet mehrere WAN-Verbindungen zentral und wählt geeignete Wege für Anwendungen. Ein Büro kann zum Beispiel Glasfaser- und Mobilfunkverbindungen haben, wobei der Datenverkehr der Anwendungen nach dem Zustand der Verbindungen geleitet wird.

Warum sich eine hohe Datenrate trotzdem langsam anfühlen kann

Ein geostationärer Satellit befindet sich etwa 35.786 km über dem Äquator. Eine Anfrage läuft hinauf und hinunter, und die Antwort läuft erneut hinauf und hinunter. Selbst der kürzeste solche Hin- und Rückweg umfasst ungefähr 143.000 km. Bei etwa 300.000 km/s dauert allein die Signallaufzeit etwa 0,48 Sekunden oder 480 ms. Geräte und der übrige Übertragungsweg verursachen zusätzliche Verzögerungen.

Satelliten in niedriger Erdumlaufbahn sind viel näher und haben eine geringere Übertragungsverzögerung. Dieser Vergleich betrifft die Latenz, nicht die Anzahl der Bits, die ein Dienst pro Sekunde übertragen kann. Ein großer Download und ein Sprachgespräch können sich über dieselbe Satellitenverbindung daher ganz unterschiedlich anfühlen.

Ein Dienst kann von einem zentralen System angefordert oder direkt von den Computern gemeinsam genutzt werden, die ihn verwenden. Diese beiden Anordnungen verändern, wie Konten, Dateien und Sicherungen verwaltet werden. Die Rollen gehören zur Software, daher sagt die Form des Computergehäuses wenig über das Modell der gemeinsamen Nutzung aus.

Ein Client fragt an; ein Server stellt bereit

In Client-Server-Netzwerken fordern Clients Dienste von dedizierten Servern an. Ein Webbrowser ist ein Client eines Webservers. Ein Bürocomputer kann einen freigegebenen Ordner von einem Dateiserver anfordern und einen Auftrag über einen Druckserver senden. E-Mail, Datenbanken und zentrale Anmeldung sind weitere gängige Serverrollen.

Ein Verzeichnis- und Authentifizierungsserver, etwa Microsoft Active Directory, verwaltet Konten und prüft Anmeldungen. Ein DHCP-Server (Dynamic Host Configuration Protocol) vergibt Netzwerkadressen. Ein DNS-Server (Domain Name System) löst Namen wie „example.com“ in Adressen auf. Eine physische Maschine kann mehrere Dienste ausführen, während ein stark genutzter Dienst auf mehrere Maschinen verteilt werden kann.

Serverhardware ist für Zuverlässigkeit und viele Nutzer ausgelegt, aber auch auf einem Desktop-PC kann Serversoftware laufen. Ebenso bleibt ein Cloud-Dienst ein Client-Server-Dienst: Der Browser fordert den Dienst von den Servern des Anbieters an.

Gemeinsame Nutzung zwischen gleichrangigen Computern

In einem Peer-to-Peer-Netzwerk (P2P) kann jeder Computer Dienste anfordern und bereitstellen. Drei Personen könnten Ordner und einen Drucker von ihren eigenen Computern aus gemeinsam nutzen. Der freigegebene Ordner hängt von dem Computer ab, auf dem er liegt: Wird dieser Computer ausgeschaltet, ist sein Ordner nicht mehr verfügbar.

In einer Windows-Arbeitsgruppe verwaltet jeder Computer seine eigenen Konten. Wenn eine Person mehrere Computer nutzt, müssen diese Konten getrennt verwaltet werden. In einer Domäne verwaltet ein Verzeichnis die Konten zentral. Ein Administrator kann ein zentrales Konto deaktivieren, wenn ein Mitarbeiter ausscheidet.

Wähle nach den Aufgaben der Nutzer

Eine Zahnarztpraxis beginnt mit vier PCs, die einen Drucker und einen Ordner gemeinsam nutzen. Peer-to-Peer ist bei dieser Größe einfach. Bei 25 Mitarbeitern brauchen Patientenakten einen kontrollierten Zugriff, Konten müssen zentral entfernt und Sicherungen jede Nacht ausgeführt werden. Eine Client-Server-Anordnung mit lokalen Servern oder geeigneten Cloud-Diensten macht diese Aufgaben beherrschbar.

Zentralisierung bündelt auch Verantwortung. Wenn ein einzelner Server einen wichtigen Dienst bereitstellt, unterbricht sein Ausfall diesen Dienst, sofern keine Redundanz vorhanden ist. Redundanz hält einen Dienst bei einem Ausfall verfügbar; Datensicherungen stellen frühere Daten nach Verlust oder Beschädigung wieder her. Eine Organisation kann beides benötigen.

Manche Anwendungen mischen die Anordnungen. Ein Videoanrufdienst kann zentrale Server für die Anmeldung und das Finden anderer Nutzer verwenden und anschließend Medien direkt zwischen den Teilnehmern übertragen. Beschreibe die Rolle jedes Teils, statt anzunehmen, dass jede Verbindung in einer Anwendung einem einzigen Modell folgt.

Eine Topologie beschreibt, welche Geräte mit welchen anderen Geräten verbunden sind. Die physische Topologie beschreibt Geräte und Kabel. Die logische Topologie beschreibt, wie Daten übertragen werden. Achte auf die Verbindungen, nicht auf die Form, die ein Netzwerkplan auf einer Seite zufällig annimmt.

Verfolge die Verbindungen und mögliche Ausfälle

Frühes Ethernet über Koaxialkabel nutzte einen Bus. Moderne kabelgebundene lokale Netzwerke (LANs) verwenden häufig Sterne und erweiterte Sterne. Ringe sind in Glasfasernetzen von Anbietern weiterhin nützlich. In einem Hub-and-Spoke-Weitverkehrsnetz (WAN) bezeichnet „Hub“ den zentralen Standort, nicht ein altes Ethernet-Hub-Gerät.

Ein Stern lässt sich leicht erweitern, weil ein neues Endgerät ein Kabel und einen freien Port am zentralen Gerät benötigt. Außerdem lassen sich die Folgen eines Kabelfehlers leicht begrenzen. Das zentrale Gerät bleibt ein Single Point of Failure. Bei einer partiellen Masche wird mehr für ausgewählte Verbindungen ausgegeben, um wichtige Wege verfügbar zu halten.

Zähle Verbindungen einer vollständigen Masche einmal

Bei fünf Standorten verbindet sich jeder Standort mit vier anderen. Die Multiplikation ergibt 20 Verbindungsenden, aber jede Verbindung wurde an beiden Enden gezählt. Dividiere durch zwei:

Dabei ist $n$ die Anzahl der Knoten und $L$ die Anzahl der ungerichteten Verbindungen. Fünf Standorte benötigen 10 Verbindungen und vier Ports pro Standort. Zehn Standorte benötigen 45 Verbindungen und je neun Ports. Dieses schnelle Wachstum macht eine vollständige Masche teuer; die meisten Netzwerke sehen zusätzliche Verbindungen dort vor, wo sie am dringendsten gebraucht werden.

Physische und logische Anordnungen können sich unterscheiden

Ein alter Hub kann im Mittelpunkt physisch sternförmig verlegter Kabel stehen. Er wiederholt jedes eingehende Signal an den anderen Ports, sodass alle Geräte den gemeinsam genutzten Datenverkehr hören: Logisch verhält er sich wie ein Bus. Auch Token-Ring-Geräte konnten sternförmig verkabelt sein und Daten in einem logischen Ring weitergeben.

Ein moderner Switch lernt Ziele und sendet bekannten Unicast-Verkehr über die jeweilige Verbindung, sodass ein logischer Stern entsteht. Reale Systeme kombinieren häufig Architekturen: Jede Zweigstelle hat einen Stern, die Zweigstellen sind als Spokes mit der Zentrale verbunden, und die Zentrale hat eine partielle Masche. Diese Kombination ist eine Hybridtopologie.

Ein großer Campus lässt sich leichter erweitern, wenn Switches klare Rollen haben. Eine hierarchische Architektur trennt den Anschluss von Endgeräten, Richtlinienentscheidungen und Hochgeschwindigkeitstransport. Das sind Aufgaben im Netzwerk, keine Etagen in einem Gebäude.

Drei Rollen

Ein Uplink überträgt Datenverkehr von einem Access-Switch in Richtung des übrigen Netzwerks. Die Verteilungsschicht sammelt viele solcher Verbindungen. Hier wird gewöhnlich entschieden, ob Datenverkehr von einem internen Netzwerk in ein anderes gelangen darf. Der Kern transportiert anschließend Datenverkehr zwischen Verteilungsblöcken. Wenn detaillierte Filterung in der Verteilungsschicht bleibt, wird das Backbone nicht durch unnötige Verarbeitung verlangsamt.

Die Gruppierung von Geräten nach Rollen begrenzt auch Störungen. Der Ausfall eines Access-Switches betrifft die daran angeschlossenen Geräte, während andere Access-Switches weiterarbeiten können. Ein zusätzlicher Zugriffsblock erweitert das Netzwerk, ohne jede Verbindung neu zu entwerfen.

Zwei Schichten für einen kleineren Campus

Ein Collapsed Core vereint Verteilungs- und Kernaufgaben in einem Switch-Paar. Das benötigt weniger Geräte und kostet weniger, sodass es sich für ein Gebäude mit mehreren Etagen oder einen kleineren Campus eignet. Gegenüber getrennten Verteilungsblöcken und einem Kern bleiben weniger Erweiterungsraum und weniger Redundanzmöglichkeiten.

Ein sehr kleines Büro mit einem Switch braucht keine formalen Schichten. Am anderen Ende profitiert ein Campus mit vielen Gebäuden von drei Schichten. Wähle die Architektur nach der Anzahl der Blöcke, dem zwischen ihnen ausgetauschten Datenverkehr und dem benötigten Wachstum. Ein Switch auf einer mittleren Etage ist nicht unbedingt ein Distribution-Switch; er könnte lediglich Arbeitsplätze auf dieser Etage verbinden.

Gehe eine redundante Architektur durch

Angenommen, drei Gebäude haben jeweils vier Etagen mit einem Access-Switch pro Etage:

1. Es gibt $3\times 4=12$ Access-Switches.
2. Jeder Access-Switch hat einen Uplink zu jedem der beiden Distribution-Switches seines Paars.
3. Insgesamt sind es $12\times 2=24$ Uplinks.

Fällt ein Distribution-Switch aus, haben die Access-Switches weiterhin den anderen Uplink und den anderen Distribution-Switch. Fällt ein Access-Switch selbst aus, verlieren seine Endgeräte trotzdem ihre unmittelbare Verbindung. Redundante Uplinks schützen die Wege oberhalb des Access-Switches; sie ersetzen diesen Switch nicht.

Ein Switch entscheidet, über welche lokale Verbindung ein Frame übertragen werden soll. Er lernt aus dem Datenverkehr, statt die Adresse jedes Endgeräts von einem Techniker eingeben zu lassen. Dadurch arbeitet er effizienter als ein alter Hub, der jedes Signal an alle anderen Ports wiederholt.

Quelle lernen, zum Ziel weiterleiten

Ein Switch speichert eine MAC-Adresstabelle, die Schnittstellenadressen Ports zuordnet. Beim Empfang eines Frames lernt er die Quelladresse am Eingangsport und sucht anschließend die Zieladresse.

Beim Flooding wird der Eingangsport ausgelassen. Es bleibt auf das VLAN des Frames beschränkt. Ungenutzte Tabelleneinträge verfallen; 300 Sekunden sind ein gängiger Standardwert, sodass die Tabelle Geräte berücksichtigt, die ihren Anschluss wechseln oder getrennt werden.

Beginne mit einer leeren Tabelle, PC A an Port 1, B an Port 2 und C an Port 3. A sendet an B. Der Switch lernt A an Port 1, kennt B aber noch nicht und verteilt den Frame daher per Flooding an die Ports 2 und 3. C verwirft den Frame, weil er an B adressiert ist. B antwortet: Der Switch lernt B an Port 2 und kennt A bereits, sodass er nur an Port 1 sendet. Spätere Frames von A an B können nur an Port 2 gehen.

Gemeinsame Signale und getrennte Verbindungen

Bei einem Hub teilen sich alle Endgeräte die Bandbreite und senden abwechselnd: Halbduplex. Gleichzeitiges Senden verursacht Kollisionen. Jeder Switch-Port stellt eine separate Verbindung bereit und arbeitet normalerweise im Vollduplex, sendet und empfängt also gleichzeitig ohne Kollisionen. Die Geräte teilen sich weiterhin Broadcasts innerhalb ihres VLANs, das als Broadcast-Domäne bezeichnet wird.

Ein nicht verwaltbarer Switch funktioniert ohne Konfiguration. Ein verwaltbarer Switch bietet Einstellungen und Überwachung für VLANs, Port Security, Stromversorgung und Datenverkehrsstatistiken. Unternehmen nutzen verwaltbare Switches, um ihre Netzwerke zu kontrollieren und zu beobachten.

Logische Netzwerke trennen und Strom bereitstellen

Ein VLAN teilt ein physisches geswitchtes Netzwerk in getrennte logische lokale Netzwerke (LANs), etwa für Mitarbeiter, Gäste und Kameras. Unterschiedliche VLANs benötigen Routing, um Datenverkehr auszutauschen. Ein Layer-2-Switch leitet anhand der MAC-Adresse weiter; ein Layer-3-Switch routet zusätzlich anhand der Internet-Protocol-Adresse (IP-Adresse) zwischen VLANs und Subnetzen.

Power over Ethernet (PoE) überträgt Strom und Daten über dasselbe Kabel, was für Telefone, Kameras und Access Points nützlich ist. Die Grenzwerte am Switch und die Leistung am Gerät unterscheiden sich, weil der Kabelwiderstand einen Teil der Energie verbraucht:

Prüfe sowohl den von einem Port unterstützten Standard als auch das gesamte Leistungsbudget des Switches. Ein Switch mit genügend Ports kann trotzdem zu wenig Leistung für alle angeschlossenen Geräte haben.

Ein Switch findet einen lokalen Zielport; ein Router findet einen Weg zu einem anderen IP-Netzwerk. Der Router betrachtet die Ziel-IP-Adresse eines Pakets und schlägt in einer Routingtabelle nach. Seine Schnittstellen sind mit unterschiedlichen Netzwerken verbunden.

Entscheide, ob das Ziel lokal ist

Ein Laptop hat die Adresse 192.168.10.25 im Netzwerk 192.168.10.0/24. In diesem /24-Netzwerk kennzeichnen die ersten drei Zahlen das Netzwerk. Sein Standardgateway ist 192.168.10.1.

1. Eine Druckanfrage an 192.168.10.40 bleibt im selben Netzwerk und gelangt über den Switch zum Drucker.
2. Eine Anfrage an den Webserver 203.0.113.80 ist für ein anderes Netzwerk bestimmt.
3. Der Laptop sendet dieses Paket an sein Standardgateway, die Router-Schnittstelle in seinem lokalen Netzwerk.
4. Der Router wählt den nächsten Schritt zum Server.

Eine Routingtabelle führt Zielnetzwerke mit einem Next Hop oder einer Ausgangsschnittstelle auf. Eine Standardroute gibt einen Next Hop vor, wenn keine spezifischere Route passt. Gibt es weder eine passende Route noch eine Standardroute, verwirft der Router das Paket. Das Standardgateway des Laptops und die Standardroute des Routers sind zusammengehörige Einstellungen auf unterschiedlichen Geräten, keine austauschbaren Namen für eine Einstellung.

Router trennen gewöhnliche lokale Broadcast-Domänen. Außerdem verringern sie die Paketlebensdauer (TTL) bei jedem gerouteten Hop um eins und verwerfen das Paket bei null. Das verhindert endloses Kreisen in einer Routingschleife.

Ein Router und ein Leitungsabschluss haben unterschiedliche Aufgaben

Ein WLAN-Router für Small Office/Home Office (SOHO) vereint einen Router, einen kleinen Switch, einen Access Point, eine Firewall, einen DHCP-Adressdienst und Netzwerkadressübersetzung (NAT). NAT ermöglicht privaten Geräten, eine öffentliche Internetadresse gemeinsam zu nutzen. Manche Geräte enthalten auch das Modem. WLAN stammt von der Access-Point-Funktion, nicht vom Routing selbst.

Verfolge eine Internetanfrage

Ein Laptop zu Hause sendet eine Webanfrage über WLAN an den Access Point im kombinierten Gerät. Der Router leitet sie in Richtung Anbieter weiter, NAT übersetzt die private Quelladresse, und das Modem oder ONT überträgt den Datenverkehr auf die Zugangsleitung des Anbieters. Der Internetanbieter (ISP) und weitere Router stellen ihn anschließend dem Webserver zu. Der Antwortverkehr gelangt über das Gerät am Netzwerkübergang zurück zum Laptop; sein weiterer Weg durch das Internet kann sich vom Hinweg unterscheiden.

Unternehmensrouter am Netzwerkübergang können Endpunkte von VPN-Tunneln sein, für Ausfallsicherheit zwei Anbieter nutzen und Quality of Service (QoS) anwenden, um verzögerungsempfindlichen Datenverkehr wie Sprache zu bevorzugen. Ein Layer-3-Switch ist für schnelles internes Routing verbreitet, während ein Router am Netzwerkübergang die WAN-Schnittstellen und Dienste für den Übergang zum Anbieter bietet.

Ein WLAN Access Point (AP) verbindet WLAN-Geräte mit einem kabelgebundenen lokalen Netzwerk (LAN). Er überbrückt drahtlose Frames über seine Switch-Verbindung zu Ethernet. Nutzer erkennen das WLAN an seiner SSID, dem Namen in der WLAN-Liste ihres Geräts.

Funkabdeckung um Kabelverbindungen herum aufbauen

Ein eigenständiger AP routet nicht zwischen Netzwerken. Ein WLAN-Router für zu Hause enthält sowohl einen AP als auch einen Router, wodurch der Unterschied verborgen sein kann. Unternehmensnetzwerke platzieren normalerweise separate APs dort, wo Nutzer Funkabdeckung benötigen, und verkabeln sie mit verwaltbaren Switches. Power over Ethernet (PoE) kann jeden AP über dasselbe Kabel mit Strom versorgen.

Die Funkabdeckung hängt von Wänden, Baumaterialien, Entfernung und Störungen ab. Ein AP kann einige Räume oder einen offenen Bereich versorgen; ein dicht belegter Raum braucht möglicherweise mehr Kapazität, auch wenn die Signalstärke gut ist. Stelle benachbarte APs auf überlappungsfreie Kanäle ein, um Störungen zwischen ihren Übertragungen zu begrenzen.

Mehrere APs können in einem Gebäude dieselbe SSID und dieselben Sicherheitseinstellungen anbieten. Während eine Person umhergeht, kann ihr Telefon per Roaming zu einem anderen AP wechseln. Einheitliche Einstellungen unterstützen diesen Wechsel, während Funkabdeckung und Client-Verhalten die Übergabe weiterhin beeinflussen. Volle Signalbalken beschreiben die Funkverbindung zum AP, nicht die Geschwindigkeit oder Verfügbarkeit des Internets dahinter.

Mehrere Access Points verwalten

Die zentrale Verwaltung kann SSIDs und Sicherheit einheitlich anwenden sowie Kanäle und Sendeleistung anpassen. Sie verringert den Aufwand, Änderungen an vielen Geräten zu wiederholen.

Wo Verkabelung unmöglich ist, leiten Mesh-APs und Reichweitenverstärker den Datenverkehr drahtlos weiter. Dieser drahtlose Backhaul verbraucht ebenfalls Sendezeit, sodass zusätzliche Hops den Datendurchsatz gewöhnlich verringern. Ein kabelgebundener Backhaul überträgt den AP-Verkehr direkt zum Switch, ohne WLAN-Sendezeit für diese Weiterleitungs-Hops zu verbrauchen.

Mitarbeiter und Gäste trennen

Verwende Wi-Fi Protected Access 3 (WPA3) oder WPA2, wenn ältere Geräte es benötigen. Der Personal-Modus verwendet eine gemeinsame Passphrase. Der Enterprise-Modus prüft individuelle Benutzeranmeldungen über einen Authentifizierungsserver, sodass einer Person der Zugang entzogen werden kann, ohne das gemeinsame Passwort für alle zu ersetzen. Wired Equivalent Privacy (WEP) ist geknackt und für den Mitarbeiterzugang ungeeignet.

Betrachte ein Büro mit einem AP auf jeder von drei Etagen. Jeder hat eine kabelgebundene PoE-Verbindung zum Switch der Etage. Alle bieten „Office“ für Mitarbeiter und „Guest“ für Besucher an. Der Mitarbeiterverkehr wird dem Mitarbeiter-VLAN zugeordnet, während der Gastverkehr einem separaten VLAN zugeordnet wird, dessen Regeln den Internetzugang erlauben und interne Ressourcen blockieren. Eine zweite SSID stellt einen Namen bereit; die VLAN-Zuweisung und die Datenverkehrsregeln sorgen für die tatsächliche Trennung.

Eine Firewall kontrolliert Datenverkehr zwischen Netzwerken oder Zonen anhand von Regeln. Regeln können Quelle, Ziel, Protokoll und Port prüfen. Ein Port bezeichnet einen Dienstendpunkt, etwa Transmission-Control-Protocol-Port (TCP-Port) 443 für sicheren Webverkehr.

Passe den Schutz an den Datenverkehr an

Eine Netzwerkfirewall schützt eine Zone; eine Hostfirewall schützt ein Gerät. Die Hostfirewall eines Laptops bleibt wichtig, wenn der Laptop das Büro verlässt. Zusammen bieten sie Schutz in mehreren Schichten, also Schutz an mehr als einer Stelle.

Gehe eine geordnete Regelliste durch

Viele Netzwerkfirewalls nutzen das First-Match-Prinzip: Regeln werden von oben nach unten geprüft, und bei der ersten Übereinstimmung endet die Prüfung. Für Datenverkehr ohne Treffer gilt die Standardrichtlinie, häufig eine implizite Verweigerung. Die Verarbeitung der Regeln unterscheidet sich zwischen Produkten; die Windows Defender Firewall gibt beispielsweise ausdrücklichen Blockierungen Vorrang vor Zulassungen und erlaubt normalerweise ausgehenden Datenverkehr.

Verwende eine First-Match-Firewall mit standardmäßiger Verweigerung und diesen Regeln:

1. Erlaube TCP 443 von jeder Quelle zum Webserver 203.0.113.10.
2. Verweigere allen Datenverkehr von 198.51.100.0/24.
3. Erlaube TCP 22 vom Administrator 198.51.100.7 zu diesem Webserver.

Die TCP-22-Anfrage des Administrators erreicht zuerst Regel 2 und wird verweigert. Regel 3 kommt nie zum Zug. Wenn die spezifische Zulassung für den Administrator über die allgemeine Verweigerung verschoben wird, kann diese Verbindung passieren. Die TCP-443-Anfrage desselben Administrators trifft auf Regel 1 und wird erlaubt. Eine Anfrage von 192.0.2.50 an TCP 25 trifft auf keine der Regeln und fällt unter die standardmäßige Verweigerung.

Trenne öffentlich erreichbare Dienste von internen Aufgaben

Eine demilitarisierte Zone (DMZ) enthält öffentliche Dienste wie einen Webserver. Sie liegt hinter Regeln, die zwischen dem externen Internet, der Zone für öffentliche Dienste und dem internen Netzwerk unterscheiden. Wird der öffentliche Server kompromittiert, sind interne Ressourcen weiterhin durch eine separate kontrollierte Grenze geschützt.

Ein IDS prüft eine Kopie des Datenverkehrs von einem Spiegelport oder Netzwerk-TAP und gibt Warnungen aus. Ein IPS sitzt inline und kann Datenverkehr beim Durchlaufen verwerfen. Beide können Signaturen bekannter Angriffe nutzen oder Verhalten erkennen, das von einer normalen Baseline abweicht. Signaturen benötigen Updates; die Anomalieerkennung kann unbekannte Angriffe finden, löst aber auch Fehlalarme aus.

Ein falsch positives Ergebnis markiert harmlosen Datenverkehr; ein falsch negatives Ergebnis übersieht einen echten Angriff. Falsch positive Ergebnisse in einem Inline-IPS können berechtigte Nutzer unterbrechen. Eine UTM-Appliance vereint Funktionen wie Firewall, IPS, Prüfung, Filterung und VPN. Schutz benötigt weiterhin mehrere Schichten: Erlaubter Web- oder E-Mail-Verkehr kann schädliche Inhalte transportieren.

Netzwerk-Appliances ergänzen den grundlegenden Switching- und Routingpfad um Dienste. Wähle eine Appliance nach ihrer Aufgabe. Ein physisches Gerät und eine virtuelle Maschine können dieselbe Netzwerkfunktion erfüllen.

Anfragen verteilen und weiterleiten

Ein Loadbalancer verteilt Anfragen auf einen Serverpool hinter einer gemeinsamen virtuellen Adresse. Er prüft den Zustand der Server und wählt einen ausgefallenen Server nicht mehr aus. Beim Round-Robin-Verfahren über S1, S2 und S3 gehen die Anfragen 1 bis 7 an S1, S2, S3, S1, S2, S3 und S1. Besteht S2 seinen Health Check nicht, wechseln neue Anfragen zwischen S1 und S3. Least Connections ist ein weiteres Verfahren: Es wählt den Server mit den wenigsten aktiven Sitzungen.

Ein Forward-Proxy handelt für Nutzer, die Anfragen an das Internet stellen. Er kann Websites filtern, Inhalte zwischenspeichern und Zugriffe protokollieren. Ein Reverse-Proxy handelt für Server, die Anfragen empfangen, und übernimmt Aufgaben wie Verschlüsselung, Zwischenspeicherung oder Lastverteilung. Ein CDN hält Kopien an vielen Standorten bereit, sodass Nutzer Inhalte von Servern in der Nähe erhalten. Das verringert Verzögerungen und die Last auf dem Ursprungsserver.

Standorte oder entfernte Nutzer sicher verbinden

Ein VPN überträgt Netzwerkverkehr durch einen verschlüsselten Tunnel über ein öffentliches Netzwerk. Ein Site-to-Site-VPN verbindet Netzwerke über Gateways. Ein Fernzugriffs-VPN verbindet das Gerät eines Nutzers mit der Organisation. Ein VPN-Konzentrator bildet den Endpunkt vieler Tunnel entfernter Nutzer.

Eine Volltunnel-Einrichtung sendet den Internetverkehr des Geräts durch den Tunnel. Eine Split-Tunnel-Einrichtung sendet ausgewählten Unternehmensverkehr hindurch und lässt anderen Datenverkehr die lokale Internetverbindung nutzen. Ein Forward-Proxy leitet Anfragen einer Anwendung weiter; das ist eine andere Aufgabe als die Übertragung von Netzwerkverkehr durch einen Tunnel. Prüfe, welchen Datenverkehr ein VPN übertragen soll, bevor du seinen Weg vorhersagst.

Dateien, Festplattenblöcke und Strom

NAS verwendet häufig die Dateiprotokolle Server Message Block (SMB) oder Network File System (NFS). Ein SAN kann Fibre Channel oder Internet Small Computer Systems Interface (iSCSI) über Ethernet nutzen. Nutzer sehen einen freigegebenen Ordner auf dem NAS; ein Server sieht ein Block-Volume aus dem SAN. Der Unterschied liegt im bereitgestellten Zugriff, nicht allein darin, wie viele Laufwerke im Schrank stehen.

Unternehmensserver sind häufig in Racks montiert und führen mehrere virtuelle Maschinen aus. Netzwerkfunktionen wie Firewalls, Router und Loadbalancer können ebenfalls als virtuelle Appliances laufen. Schließe neben den Servern auch Switches, Router und Firewall an eine geschützte Stromversorgung an: Ein laufender Server kann Nutzer nicht über einen ausgeschalteten Switch bedienen. Ein Loadbalancer hält neue Anfragen von ausgefallenen Servern fern, stellt aber keine gelöschten Daten wieder her; dafür dienen Datensicherungen.

Ein kleines Unternehmensnetzwerk besteht aus einer Kette verbundener Funktionen. Die Leitung des Anbieters endet an einem Modem oder Optical Network Terminal (ONT). Ein Router und eine Firewall schützen den Netzwerkübergang. Ein zentraler Switch verbindet Server und Speicher mit Access-Switches, die Arbeitsplätze, Drucker, Kameras und WLAN Access Points (APs) anschließen.

Verbinde ein Gerät mit der richtigen Stelle

Ein typischer Kabelweg ist Gerät → Patchkabel → Netzwerkdose → festes Wandkabel → Patchpanel → Patchkabel → Switch-Port. Das Patchpanel schließt die feste Verkabelung ab; es leitet keinen Datenverkehr wie ein Switch weiter. Ortsfeste Geräte, die eine gleichmäßige Leistung benötigen, darunter Speichergeräte, Drucker, Kameras und APs, eignen sich gut für Kabelverbindungen.

Mobile Geräte verbinden sich mit dem WLAN über den Namen des Mitarbeiternetzwerks, die SSID. Verwende Wi-Fi Protected Access (WPA3 oder WPA2 für ältere kompatible Geräte). Deaktiviere Wi-Fi Protected Setup (WPS), insbesondere dessen anfällige PIN-Methode. Gib Druckern, Kameras und anderen ortsfesten Peripheriegeräten reservierte oder feste IP-Adressen, damit ihre Nutzer sie weiterhin finden können.

Berechne ein Leistungsbudget

Ein Switch hat ein gesamtes Power-over-Ethernet-Leistungsbudget (PoE) von 370 W. Er reserviert 30 W für jeden von sechs PoE+-APs und 15,4 W für jede von vier Kameras.

1. Zuweisung für APs: $6\times 30=180$ W.
2. Zuweisung für Kameras: $4\times \mathrm{15,4}=\mathrm{61,6}$ W.
3. Gesamte Zuweisung: $180+\mathrm{61,6}=\mathrm{241,6}$ W.
4. Verbleibendes Budget: $370-\mathrm{241,6}=\mathrm{128,4}$ W.

Vier weitere Geräte mit je 30 W benötigen 120 W und passen ins Budget. Fünf benötigen 150 W und passen nicht. Dies sind die Reservierungswerte am Switch; die am Gerät gelieferte Leistung ist geringer. Freie Ports allein zeigen nicht, ob weitere mit Strom versorgte Geräte funktionieren werden.

Bereite die Verbindung vor und teste sie

Ändere Standardzugangsdaten, aktualisiere Firmware, deaktiviere ungenutzte Dienste und ordne Kameras und intelligente Geräte einem separaten VLAN zu. Ein Netzwerkvideorekorder (NVR) empfängt Kameraaufzeichnungen; Voice-over-IP-Telefone (VoIP), Zutrittskontrollgeräte und Messgeräte sind weitere gängige vernetzte Peripheriegeräte.

Prüfe die Link-LED der physischen Verbindung. Unter Windows zeigt ipconfig die IP-Adresse, Maske und das Standardgateway; ip addr unter Linux und ifconfig unter macOS zeigen Schnittstellenadressen. Ein für DHCP eingestelltes Windows-Gerät, das sich automatisch eine 169.254-Adresse zuweist, hat keine DHCP-Adresse erhalten. Prüfe sein Kabel oder seine WLAN-Verbindung und den DHCP-Dienst. Teste mit ping das Gateway und anschließend eine Internetadresse oder einen Namen; ein blockierter Ping kann ebenfalls eine Antwort verhindern.

Ein Mitarbeiter-Laptop, der auf einem Drucker im eigenen Subnetz druckt, nutzt AP → Switch → Drucker. Für ein Cloud-Portal führt der Weg über den zentralen Switch, die Firewall beziehungsweise den Router, den Anbieteranschluss und den Internetanbieter (ISP) weiter zur Cloud. Ein ungeplant hinzugefügter Heimrouter kann einen weiteren Adressdienst und ein zusätzliches Netzwerk einführen; ein verwalteter AP ist die geeignete Möglichkeit, ein Unternehmens-WLAN zu erweitern.

Ein Rechenzentrum beherbergt Server, Speicher- und Netzwerktechnik mit Kühlung, physischer Sicherheit und redundanter Stromversorgung. Eine Organisation kann eine eigene Einrichtung betreiben, durch Colocation Platz für ihre Geräte mieten oder die Einrichtungen eines Cloud-Anbieters nutzen. Das Netzwerk muss sowohl Nutzer mit Diensten als auch Dienste untereinander verbinden.

Racks und Datenverkehrsrichtungen

Ein standardisiertes 19-Zoll-Rack hat 482,6 mm breite Frontplatten. Die Gerätehöhe wird in Höheneinheiten angegeben: 1 HE = 44,45 mm, und ein gängiges Rack in voller Höhe fasst 42 HE. Ein Top-of-Rack-Switch verbindet die Server in seinem eigenen Rack; End-of-Row-Switches sammeln die Serverkabel einer Rackreihe.

Nord-Süd-Verkehr tritt in das Rechenzentrum ein oder verlässt es, etwa bei der Website-Anfrage eines Nutzers. Ost-West-Verkehr bewegt sich zwischen seinen Servern, etwa wenn ein Webserver eine Datenbank abfragt oder Speicher Daten auf einen anderen Server kopiert. Diese Namen beschreiben Beziehungen, keine Himmelsrichtungen auf einem Grundriss.

Vorhersehbare Wege zwischen Servern aufbauen

In einer Spine-Leaf-Architektur werden Server mit Leaf-Switches verbunden, und jeder Leaf ist mit jedem Spine verbunden. Im grundlegenden Aufbau sind Leafs nicht direkt mit anderen Leafs und Spines nicht direkt mit anderen Spines verbunden. Datenverkehr zwischen Servern an unterschiedlichen Leafs nimmt den Weg Leaf → Spine → Leaf.

Bei vier Spines und acht Leafs benötigt die Architektur $4\times 8=32$ Leaf-Spine-Verbindungen. Ein Server an Leaf 2 kann Leaf 7 über jeden der vier Spines erreichen. Fällt ein Spine aus, bleiben drei solche Wege. Ein zusätzlicher Leaf stellt mehr Server-Ports bereit; ein zusätzlicher Spine stellt mehr Kapazität zwischen den Leafs bereit. Die einheitliche Weglänge eignet sich für starken Ost-West-Verkehr, der durch eine traditionelle Campus-Hierarchie längere Wege nehmen kann.

Mehrere Computer innerhalb eines Hosts

Die Servervirtualisierung führt mehrere virtuelle Maschinen (VMs) auf einem physischen Host aus. Jede VM hat ihr eigenes Betriebssystem. Ein Hypervisor weist die Ressourcen des Hosts zu und stellt die virtuelle Hardware bereit, die die VMs nutzen.

Ein virtueller Switch verbindet VMs innerhalb des Hosts und über die Netzwerkschnittstellen des Hosts mit dem physischen Netzwerk. Zwei VMs am selben virtuellen Switch können Daten austauschen, ohne einen physischen Switch zu nutzen. Daher kann Kontrolle innerhalb des virtuellen Netzwerks nötig sein.

Ein Container verpackt eine Anwendung und ihre Abhängigkeiten und teilt sich dabei den Betriebssystemkern des Hosts. Er ist im Allgemeinen kleiner und startet schneller als eine VM mit eigenem Betriebssystem. Docker ist eine bekannte Containerplattform.

Netzwerkfunktionsvirtualisierung (NFV) führt Funktionen wie Router und Firewalls als Software auf Standardservern aus. Software-defined Networking (SDN) trennt die Steuerungsebene, die über Datenverkehrswege entscheidet, von der Datenebene, die Datenverkehr weiterleitet. Ein zentraler Controller koordiniert diese Entscheidungen im gesamten Netzwerk.

Cloud Computing stellt gemeinsam genutzte IT-Ressourcen bedarfsgerecht über ein Netzwerk bereit. Ressourcen können schnell bereitgestellt und freigegeben werden, und die Nutzung wird gemessen. Entscheidend ist, welche Aufgaben der Anbieter übernimmt und welche beim Kunden bleiben.

Was macht einen Dienst zu Cloud Computing?

Das National Institute of Standards and Technology (NIST) nennt fünf Merkmale: bedarfsgerechte Selbstbedienung, breiten Netzwerkzugang, gemeinsame Ressourcennutzung, schnelle Elastizität und messbare Dienstnutzung. Ein Kunde kann Ressourcen anfordern, ohne darauf zu warten, dass jemand Hardware installiert, über das Netzwerk darauf zugreifen und die Kapazität aus einem gemeinsamen Pool anpassen. Die Messung macht Nutzung und Kosten sichtbar.

Dienstmodelle teilen die Arbeit auf

Amazon EC2 und Azure Virtual Machines sind Beispiele für IaaS. Azure App Service und Google App Engine sind Beispiele für PaaS. Microsoft-365-E-Mail und Salesforce sind Beispiele für SaaS.

Nach dem Modell der geteilten Verantwortung bleiben die physischen Einrichtungen und die zugrunde liegende Infrastruktur des Anbieters in dessen Verantwortung. Kunden bleiben für ihre Daten und dafür verantwortlich, wer darauf zugreifen kann. Ein Betriebssystem ohne aktuelle Sicherheitsupdates auf einer IaaS-VM ist Aufgabe des Kunden. Ein SaaS-Kunde aktualisiert nicht die Anwendung des Anbieters, entfernt aber weiterhin ausgeschiedene Nutzer und legt Zugriffsrechte fest. Auch Umfang und Aufbewahrungsdauer der Datensicherung müssen zum Bedarf des Kunden passen.

Bereitstellungsmodelle beschreiben, wer die Cloud nutzt

Eine Public Cloud bedient viele Kunden auf der Infrastruktur eines Anbieters. Mandantenfähigkeit ermöglicht die gemeinsame Nutzung physischer Hardware bei logischer Trennung der Ressourcen der Kunden. Eine Private Cloud dient einer Organisation; sie kann sich vor Ort befinden oder anderswo gehostet werden. Eine Hybrid Cloud verbindet private oder lokale Ressourcen mit einer Public Cloud, sodass Arbeitslasten und Daten geteilt werden können. Eine Community Cloud dient Organisationen mit gemeinsamen Bedürfnissen. Multicloud bedeutet die Nutzung von mehr als einem öffentlichen Anbieter.

Eine privat gehostete Cloud und ein Serverraum vor Ort sind daher unterschiedliche Dinge. „Privat“ beschreibt den exklusiven Nutzerkreis der Cloud, nicht ihre Straßenadresse.

Kapazität erhöhen und dem Bedarf folgen

Skalierbarkeit ist die Fähigkeit, die Kapazität zu erhöhen. Vertikale Skalierung nutzt eine größere Maschine; horizontale Skalierung fügt weitere Maschinen hinzu. Elastizität fügt Ressourcen automatisch hinzu und entfernt sie, wenn sich der Bedarf ändert.

Ein Webshop läuft normalerweise auf zwei Servern. Eine Verkaufsaktion löst die Hinzunahme von acht weiteren aus, sodass es insgesamt zehn sind; danach werden diese acht entfernt. Das Hinzufügen weiterer Server ist horizontale Skalierung, und ihr automatisches Hinzufügen und Entfernen je nach Bedarf zeigt Elastizität. Cloud-Nutzung ersetzt große Hardwarekäufe durch laufende Nutzungskosten und schnelle Bereitstellung. Geräte vor Ort bieten direkte Kontrolle über Hardware und Datenspeicherort, und lokale Dienste können bei einem Internetausfall verfügbar bleiben.

Eine Virtual Private Cloud (VPC) ist ein logisch isoliertes Netzwerk innerhalb einer Public Cloud. Azure nennt den entsprechenden Dienst virtuelles Netzwerk oder VNet. Der Kunde wählt Adressbereiche, teilt sie in Subnetze auf und kontrolliert die Routen und Filter zwischen Ressourcen.

Trenne öffentliche Einstiegspunkte von privaten Diensten

Betrachte eine VPC mit dem Bereich 10.0.0.0/16. Ihr öffentliches Subnetz 10.0.1.0/24 enthält einen öffentlich erreichbaren Loadbalancer. Ihr privates Subnetz 10.0.2.0/24 enthält Anwendungsserver und eine Datenbank.

Ein öffentliches Subnetz hat eine Route zu einem Internetgateway. Eine aus dem Internet erreichbare Ressource benötigt außerdem eine geeignete öffentliche Adressierung und Regeln, die den Datenverkehr erlauben. Zu den Ressourcen eines privaten Subnetzes gibt es keine direkte Route aus dem Internet. Seine Server können trotzdem ausgehende Verbindungen über ein NAT-Gateway aufbauen, zum Beispiel um Updates herunterzuladen. Dieses Gateway lässt die Antworten auf die aufgebauten Verbindungen zu, ohne Internet-Clients eine direkte Möglichkeit zu geben, Verbindungen zu den privaten Servern aufzubauen.

Liegt die Datenbank hinter einer privaten Grenze, bleiben öffentliche Besucher am Einstiegspunkt. Die Anwendung erreicht die Datenbank über einen erlaubten internen Weg. Die Bezeichnungen „öffentlich“ und „privat“ beschreiben die Routenführung; diese muss mit den Adressen und Regeln zusammenpassen, damit der gewünschte Zugriff entsteht.

Wende Filter auf der richtigen Ebene an

Sicherheitsgruppen werden Instanzen oder Netzwerkschnittstellen zugeordnet. Netzwerkzugriffskontrolllisten (ACLs) gelten an den Grenzen von Subnetzen. Das Verhalten unterscheidet sich je nach Anbieter; bei Amazon Web Services (AWS):

Erlaube für einen einfachen Aufbau mit Webserver und Datenbank TCP-Port 443 von öffentlichen Besuchern zur Gruppe des Webservers. Erlaube den Datenbank-TCP-Port 3306 nur für Mitglieder der Gruppe des Webservers. Die Datenbankregel beschränkt die Quelle auf die Webschicht; sie gewährt nicht allen Internetbesuchern denselben Zugriff. Kombiniere diese Filter mit privatem Routing und verzichte auf einen öffentlichen Zugangsweg zur Datenbank.

Verbinde das Büro mit der Cloud

Ein Site-to-Site-VPN verschlüsselt den Datenverkehr zwischen dem Büro-Gateway und dem Cloud-Netzwerk über das Internet. Es ist schnell eingerichtet und relativ kostengünstig, hängt aber von der schwankenden Geschwindigkeit und Verzögerung des Internets ab. Einzelne entfernte Nutzer verwenden ein Fernzugriffs-VPN.

Eine dedizierte private Verbindung wie AWS Direct Connect, Azure ExpressRoute oder Google Cloud Interconnect vermeidet das öffentliche Internet und bietet besser vorhersehbare Bandbreite und Latenz. Sie kostet mehr und braucht länger für die Einrichtung. „Private Verbindung“ bezeichnet den Übertragungsweg; leite aus diesem Namen keine Verschlüsselungsgarantie ab.

Beim Webshop-Entwurf nimmt der öffentliche Loadbalancer Besucheranfragen an, private Server rufen Updates über NAT ab, und Administratoren nutzen das VPN zwischen Büro und Cloud. Durch die Trennung dieser drei Wege lässt sich genau beschreiben, wer die jeweilige Verbindung aufbauen kann.

Ein Netzwerkplan stellt Geräte und Verbindungen so dar, dass ein Techniker damit arbeiten kann. Wähle die Ansicht, die die jeweilige Frage beantwortet: wo etwas installiert ist, zu welchem Netzwerk es gehört, wie Datenverkehr verläuft oder wie viel Rackplatz es belegt.

Wähle den richtigen Plan

Layer-1-Pläne zeigen vor allem Kabel und Ports. Layer-2-Pläne zeigen vor allem Switches, VLANs und Trunks, also Verbindungen, die mehrere VLANs übertragen. Layer-3-Pläne zeigen vor allem Router, Subnetze, IP-Adressen und Gateways. Physische und logische Details können auch in kombinierten Plänen erscheinen, lies daher Beschriftungen und Legende.

Entschlüssele Symbole und Beschriftungen

Gängige Konventionen stellen einen Router als Kreis mit Pfeilen, einen Switch als flachen Kasten, eine Firewall als Ziegelmauer, einen Access Point (AP) mit Funkwellen und einen Server als Tower oder Rackgerät dar. Eine Wolke verbirgt die internen Details eines Internet- oder Anbieternetzwerks. Durchgezogene Linien bedeuten oft Kabelverbindungen; gestrichelte Linien können drahtlose Verbindungen oder VPN-Tunnel bedeuten. Die Legende legt die Bedeutung im jeweiligen Plan fest.

Ein Name wie „HQ-SW-02“ bezeichnet den zweiten Switch der Zentrale. In der gängigen Cisco-Schreibweise bezeichnet „Gi1/0/2“ einen GigabitEthernet-Port, während „Te1/1/1“ einen 10-Gigabit-Port bezeichnet. Beschriftungen wie „1G“ oder „10G“ zeigen die Verbindungsgeschwindigkeit; „192.168.20.0/24“ bezeichnet ein Subnetz, und „VLAN 20 Guest“ gibt Nummer und Zweck eines logischen Netzwerks an.

Verfolge einen vollständigen Weg

Ein Plan verbindet Internet → FW1 → CORE-SW → ACC-SW1 → AP1. Der Switch-Trunk überträgt Mitarbeiter-VLAN 10 und Gäste-VLAN 20. Server SRV1 befindet sich an CORE-SW in VLAN 30.

Der Internetweg eines Gasttelefons lautet Telefon → AP1 → ACC-SW1 → CORE-SW → FW1 → Internet. Um zu entscheiden, ob es SRV1 erreichen kann, prüfe die Routing- und Firewallrichtlinien zwischen VLAN 20 und VLAN 30. Ein gemeinsamer physischer Switch-Pfad erteilt keine Berechtigung zwischen getrennten Netzwerken.

Berechne den Rackplatz

Ein Rack mit 42 HE hat $42\times \mathrm{44,45}=\mathrm{1.866,9}$ mm Einbauhöhe. Zwei Patchpanels mit je 1 HE, zwei Access-Switches mit je 1 HE, eine Firewall mit 1 HE, ein Router mit 1 HE, zwei Server mit je 2 HE, ein Speichergerät mit 2 HE und eine Batterieeinheit mit 2 HE belegen:

$2+2+1+1+4+2+2=14$ HE.

Damit bleiben insgesamt $42-14=28$ HE Einbauplatz frei. Der Rack-Belegungsplan zeigt, wo dieser freie Platz liegt. Prüfe Datum, Version und Bestandsstatus des Plans, bevor du dich bei einer Änderung darauf verlässt.

Nützliche Aufzeichnungen ermöglichen einem anderen Techniker, die Installation ohne Rätselraten zu verstehen. Aktualisiere sie bei Änderungen am Netzwerk und halte eine Kopie während eines Ausfalls zugänglich. Eine technisch korrekte Installation benötigt außerdem eine Übergabe, der Nutzer folgen können.

Führe Aufzeichnungen mit klaren Aufgaben

Ein IT-Inventar erfasst zu jedem Gerät Hersteller, Modell, Seriennummer, Standort, Firmware- oder Softwareversion, Lizenzen und Garantie. Nimm Lebenszyklusmeilensteine auf, insbesondere die Enddaten für Sicherheitskorrekturen und technischen Support. Eine Ankündigung des Produktlebensendes beginnt einen Lebenszyklusprozess; sie beendet Updates nicht unbedingt an diesem Tag.

Die IP-Adressverwaltung (IPAM) erfasst Subnetze und Adressen, die vergeben, reserviert oder frei sind. Sie hilft, doppelte Vergaben zu verhindern, und zeigt, wo feste Geräte wie Drucker und Kameras zu finden sind. Halte den Adressplan mit den tatsächlich installierten Geräten im Einklang.

Beschrifte beide Enden jedes Kabels sowie das Patchpanel und die Dose. Ein Kabelplan verbindet diese Beschriftungen mit dem Dienst. Eine Zeile könnte lauten: Dose „2.14“ → Panel B Port 14 → Switch ACC-SW2 Port 14 → VLAN 10 → Drucker PRN-2F. So kann ein Techniker den richtigen Port erkennen, ohne an Kabeln zu ziehen, um ihre Enden zu finden.

Halte das installierte Ergebnis und jede Änderung fest

Die Bestandsdokumentation zeigt, was tatsächlich installiert wurde, einschließlich der während der Arbeit vorgenommenen Änderungen. Der ursprüngliche Plan hält die Absicht fest; die Bestandsdokumentation unterstützt die spätere Wartung. Das Änderungsmanagement erfasst und genehmigt Änderungen, bevor sie erfolgen. Sichere Gerätekonfigurationen und bewahre eine als funktionsfähig bekannte Referenzkonfiguration auf, damit eine fehlgeschlagene Änderung rückgängig gemacht werden kann.

Wird ein Drucker an eine andere Dose versetzt, aktualisiere seinen Standort, die Kabelplanzeile und den betroffenen Plan. Prüfe, ob der Adresseintrag und die Switch-Port-Informationen weiterhin übereinstimmen. Ein einzelner korrekter Eintrag unter mehreren widersprüchlichen Aufzeichnungen kostet bei einem Ausfall Zeit.

Deute eine Dienstzusage

Ein Service-Level-Agreement (SLA) legt messbare Ziele wie Verfügbarkeit und Reaktionszeit fest. Um die jährliche Verfügbarkeit in Ausfallzeit umzurechnen, bestimme zuerst den nicht verfügbaren Anteil. Für ein Jahr mit 365 Tagen:

$365\times 24=8.760$ Stunden.

Bei 99,9 % Verfügbarkeit beträgt der nicht verfügbare Anteil 0,1 % oder 0,001:

$\mathrm{0,001}\times 8.760=\mathrm{8,76}$ Stunden.

Bei 99,99 % beträgt er 0,01 % oder 0,0001:

$\mathrm{0,0001}\times 8.760\times 60=\mathrm{52,56}$ Minuten.

Lies den Messzeitraum und die Ausschlüsse des Vertrags, wenn du ein SLA auf einen realen Dienst anwendest. Verfügbarkeit ist etwas anderes als die Zeit bis zur ersten Reaktion des Anbieters auf eine Störungsmeldung.

Übergib den Dienst in einfacher Sprache

Eine kurze Benutzeranleitung erklärt, mit welchem Mitarbeiter- oder Gäste-WLAN man sich verbindet, wie die Verbindung hergestellt und der passende Drucker hinzugefügt wird, welche Passwortregeln gelten und an wen man sich wendet. Gehe die Aufgaben mit den Nutzern durch und prüfe, ob sie sie ausführen können. Gib einem Nutzer eine hilfreiche Anweisung wie „Verbinde dich mit Office und melde dich mit deinem Mitarbeiterkonto an.“

Bewahre Administratorpasswörter und Gerätezugangsdaten in einem geschützten Passwortmanager oder Tresor auf. Sie gehören nicht in eine Benutzeranleitung oder auf einen Netzwerkplan. Bewahre eine bei Ausfällen zugängliche Kopie der technischen Aufzeichnungen auf, etwa einen ausgedruckten Ordner im Rack oder eine geschützte Kopie außerhalb des Netzwerks, das sie beschreibt.