Das OSI- und das TCP/IP-Modell

Für einen Austausch über ein Netzwerk sind mehrere Aufgaben nötig, von der Erstellung einer Nachricht bis zum Senden von Signalen. Ein Schichtenmodell trennt diese Aufgaben. Jede Schicht nutzt den Dienst direkt unter ihr und stellt der Schicht direkt über ihr einen Dienst bereit.

Aufgaben getrennt halten

Ein Laptop kann von WLAN zu Ethernet wechseln, während sein Browser weiterhin dasselbe Webprotokoll nutzt. Die lokale Zustellung ändert sich, ohne dass sich der Anwendungsdienst ändert. Veröffentlichte Standards ermöglichen außerdem die Zusammenarbeit von Systemen verschiedener Hersteller (Interoperabilität) und geben Fachleuten ein gemeinsames Vokabular wie „Fehler auf Schicht 2“. Planer und Lernende können jeweils eine Aufgabe untersuchen.

Ein Protokoll legt Nachrichtenformate, Reihenfolge und Reaktionen fest. Eine Protokollfamilie fasst zusammenarbeitende Protokolle wie TCP/IP zusammen. Ein Referenzmodell beschreibt Kommunikationsfunktionen, ohne eine bestimmte Implementierung vorzuschreiben.

Das Open-Systems-Interconnection-Modell (OSI-Modell) stammt von der Internationalen Organisation für Normung (ISO). Seine erste Ausgabe erschien 1984 als ISO 7498; die spätere grundlegende Referenz ist ISO/IEC 7498-1:1994, ebenfalls veröffentlicht als ITU-T X.200. Der Internetverkehr nutzt die TCP/IP-Protokollfamilie; OSI liefert das Vokabular mit sieben Schichten, mit dem er beschrieben wird.

Den Protokollstapel verfolgen

Nummeriere die Schichten vom Medium aufwärts:

1. Bitübertragungsschicht
2. Sicherungsschicht
3. Vermittlungsschicht
4. Transportschicht
5. Sitzungsschicht
6. Darstellungsschicht
7. Anwendungsschicht

Der Merksatz „Bitte sende viele tolle Sachen direkt ab“ steht für 1–7. „Alle Damen singen tagsüber von schönen Bergen“ steht für 7–1. Die Schichten 1–3 heißen oft medienorientierte Schichten und 4–7 hostorientierte Schichten.

Ein Sender arbeitet sich von der Anwendungsschicht bis zur Bitübertragungsschicht nach unten. Signale überqueren das Medium und der Empfänger arbeitet sich nach oben. Entsprechende Schichten sind logisch gleichrangig: Die beiden TCP-Implementierungen folgen den TCP-Regeln, obwohl die Daten tatsächlich über IP, lokale Verbindungen und Signale zwischen ihnen übertragen werden.

Die Übergabe veranschaulichen

Eine Person schreibt einen Brief, ein adressierter Umschlag ermöglicht die Zustellung und Fahrzeuge befördern ihn. Der Fahrer kann den verschlossenen Brief transportieren, ohne seinen Inhalt zu verstehen. Ebenso überträgt jede untere Schicht die Daten der oberen Schicht als Nutzdaten und fügt Steuerinformationen hinzu, meist einen Header.

Reale Protokolle können Funktionen kombinieren. TLS übernimmt die Verschlüsselung, die der Darstellungsschicht zugeordnet wird, während ARP die lokale MAC-Zustellung mit der IP-Adressierung verbindet. Ihre Einordnung hängt von ihrer Aufgabe und dem verwendeten Modell ab.

Die ersten drei OSI-Schichten übertragen Daten durch das Netzwerk. Sie beschreiben drei unterschiedliche Aufgaben: Signale, lokale Frames und Pakete, die Netzwerkgrenzen überqueren können.

Schicht 1: Bits als Signale senden

Die Bitübertragungsschicht stellt Bits als elektrische Signale auf Kupfer, als Licht in Glasfasern oder als Funkwellen über WLAN dar. Sie legt Einzelheiten wie Steckverbinder, Kontaktbelegungen, Signalpegel, Frequenzen und Bitraten fest. Eine Twisted-Pair-Ethernet-Verbindung kann einen RJ45-Stecker nutzen und mit 1 Gbit/s arbeiten.

Bei der physischen Übertragung wird keine Entscheidung anhand von MAC- oder IP-Adressen getroffen. Ein Signal überträgt einen Strom von Bits; die höheren Schichten legen fest, wie diese Bits Nachrichten bilden und wohin die Nachrichten gehören.

Schicht 2: einen Frame auf der lokalen Verbindung zustellen

Die Sicherungsschicht verpackt Daten in Frames, um sie auf einer lokalen Verbindung oder in einem Netzwerksegment zuzustellen. Ethernet und WLAN nutzen MAC-Adressen, um Schnittstellen zu kennzeichnen. Eine übliche MAC-Adresse ist 48 Bit lang und wird als sechs hexadezimale Paare geschrieben, etwa 00:1A:2B:3C:4D:5E.

Das IEEE beschreibt zwei Teilschichten der Schicht 2. Logical Link Control (LLC) stellt die Schnittstelle zu Schicht 3 und Funktionen zur Protokollerkennung bereit. Media Access Control (MAC) übernimmt die lokale Adressierung und den Zugriff auf das Medium. Ethernet ist IEEE 802.3; WLAN ist IEEE 802.11. Beide umfassen Funktionen der Bitübertragungs- und Sicherungsschicht. PPP ist ein weiteres Protokoll der Sicherungsschicht und wird auf Punkt-zu-Punkt-Verbindungen verwendet.

Ethernet fügt am Ende eines Frames eine Frame-Prüfsumme (FCS) hinzu. Der Empfänger nutzt sie, um Beschädigungen zu erkennen. Schlägt die Prüfung fehl, wird der Frame verworfen. Standard-Ethernet sendet den Frame nicht erneut, um diesen Verlust zu beheben; ein Protokoll einer höheren Schicht wie TCP kann fehlende Daten wiederherstellen, wenn Zuverlässigkeit erforderlich ist.

Schicht 3: einen Host über Netzwerkgrenzen hinweg erreichen

Die Vermittlungsschicht verpackt Daten in Pakete. Sie nutzt logische Adressen: IPv4-Adressen enthalten 32 Bit und IPv6-Adressen 128 Bit. Das Routing bestimmt, wie Pakete zwischen Netzwerken übertragen werden. Ein Router liest die Ziel-IP-Adresse und wählt einen Weg dorthin.

Hierzu gehören IPv4 und IPv6 sowie ICMP, das Steuer- und Fehlermeldungen für Werkzeuge wie ping überträgt. IPsec schützt den IP-Verkehr. Die Paketlebensdauer (TTL) von IPv4 und das Hop Limit von IPv6 verhindern endlose Weiterleitungsschleifen: Jeder Router verringert den Wert um eins und ein Paket, dessen Wert abläuft, wird verworfen.

Eine drahtlose Anfrage verfolgen

Ein Laptop fordert eine Seite von einem Server in einem anderen Netzwerk an. Das Funksignal, das den Laptop verlässt, gehört zu Schicht 1. Sein WLAN-Frame erreicht den Access Point auf Schicht 2. Der Access Point vermittelt den Datenverkehr zu Ethernet, wo ein Frame ihn zum lokalen Router überträgt. Das enthaltene IP-Paket nennt den Laptop und den entfernten Server als Endpunkte.

Die IP-Adresse eines entfernten Servers kann im Paket bleiben, während jeder Router einen neuen Frame für die nächste Verbindung erstellt. Wer die MAC-Adresse als Ende-zu-Ende-Ziel betrachtet, verwechselt die lokale Zustellung mit dem Routing.

Die oberen OSI-Schichten beschreiben die Zustellung an Programme und die Dienste, die diese Programme nutzen. Eine funktionierende IP-Route erreicht einen Host; sie bezeichnet für sich genommen weder das empfangende Programm noch erklärt sie das Nachrichtenformat.

Schicht 4: das Programm erreichen

Die Transportschicht stellt Daten mithilfe von Portnummern zwischen Prozessen, also laufenden Programmen, zu. TCP stellt einen Bytestrom zuverlässig und in der richtigen Reihenfolge zu und teilt Daten in Segmente. UDP überträgt unabhängige Datagramme.

Das Multiplexverfahren der Transportschicht ermöglicht einem Browser, einem E-Mail-Client und einem Anrufprogramm, dieselbe Schnittstelle zu nutzen und ihre Verbindungen unterscheidbar zu halten. Die IP-Adresse bezeichnet einen Host; Transportinformationen bezeichnen den Dienst oder die Verbindung auf diesem Host.

Schichten 5 und 6: verwalten und darstellen

Die Sitzungsschicht, Schicht 5, baut Dialoge zwischen Anwendungen auf, verwaltet und beendet sie. Die Dialogsteuerung legt fest, welche Seite wann sendet; Prüfpunkte ermöglichen es, einen unterbrochenen Austausch an einer aufgezeichneten Stelle fortzusetzen. RPC und der NetBIOS-Sitzungsdienst sind gängige Beispiele für Sitzungsaufgaben.

Die Darstellungsschicht, Schicht 6, übernimmt Darstellung, Komprimierung und Verschlüsselung. ASCII und UTF-8 stellen Text dar; JPEG und PNG stellen Bilder dar; MPEG stellt Video dar. Komprimierung verringert die zu sendende Datenmenge. In OSI-Beschreibungen wird die TLS-Verschlüsselung üblicherweise der Darstellungsschicht zugeordnet.

Schicht 7: einen Netzwerkdienst bereitstellen

Die Anwendungsschicht enthält Protokolle, die Programme unmittelbar nutzen. HTTP und HTTPS dienen dem Web; SMTP sendet E-Mails; IMAP und POP3 rufen sie ab. DNS löst Namen auf, DHCP stellt automatische Netzwerkeinstellungen bereit, FTP und SFTP übertragen Dateien und SSH ermöglicht sicheren Zugriff auf eine entfernte Befehlszeile.

Ein Browser ist das Programm, das HTTP nutzt. HTTP ist sein Netzwerkprotokoll. Würde man das gesamte Programm als Schicht betrachten, würde man lokale Browseraktionen einbeziehen, die nie über ein Netzwerk kommunizieren.

Einen E-Mail-Austausch nachvollziehen

TCP 587 ist ein gängiger Einlieferungsendpunkt, der normalerweise mit STARTTLS auf TLS umgestellt wird. Bei TCP/IP gehören die Sitzungs- und Darstellungsaufgaben zur Anwendungsschicht. Diese OSI-Zeilen beschreiben Funktionen und müssen daher nicht vier getrennten Softwaremodulen entsprechen.

OSI und TCP/IP fassen dieselben Kommunikationsaufgaben unterschiedlich zusammen. Ordne die Funktionen einander zu, um ihre Diagramme zu vergleichen.

Vier Internetschichten

TCP/IP entstand aus Forschungsarbeiten, die in den 1970er-Jahren von der Defense Advanced Research Projects Agency (DARPA) finanziert wurden. Das ARPANET übernahm es am 1. Januar 1983. Spezifikationen erscheinen als Requests for Comments (RFCs); an Internetstandards wird über die Internet Engineering Task Force (IETF) gearbeitet. Die Protokollfamilie ist nach TCP und IP benannt und umfasst auch UDP, ICMP, ARP, DNS und weitere Protokolle.

RFC 1122 beschreibt vier Schichten:

Zur Anwendungsschicht gehören HTTP, DNS und SMTP. Zur Transportschicht gehören TCP und UDP; zur Internetschicht IP und ICMP; zur Netzzugangsschicht Ethernet und WLAN. Die Netzzugangsschicht heißt auch Network Access oder Network Interface; manche Bücher nennen die Internetschicht „Network“.

Würde man die TCP/IP-Anwendungsschicht nur OSI 7 zuordnen, blieben Sitzungs- und Darstellungsfunktionen unberücksichtigt. Diese Aufgaben werden weiterhin erfüllt, aber TCP/IP fasst sie mit den Anwendungen zusammen, die sie benötigen.

Warum eine fünfte Schicht erscheint

Das Fünfschichtenmodell für Lehrzwecke teilt die Netzzugangsschicht in Sicherungs- und Bitübertragungsschicht auf. Die vollständige Reihenfolge lautet: Anwendungs-, Transport-, Vermittlungs-, Sicherungs- und Bitübertragungsschicht. Kurose und Ross sowie viele Netzwerkkurse nutzen es, um die lokale Framebildung von der Signalübertragung zu unterscheiden. Seine unteren vier Schichten entsprechen einzeln den OSI-Schichten 1–4.

OSI wurde als allgemeines Referenzmodell entworfen, bevor die meisten zugehörigen Protokolle existierten. Das TCP/IP-Modell beschreibt eine bereits verwendete Protokollfamilie. Das erklärt mit, warum OSI die oberen Schichten getrennt einteilt, während Internetsoftware ihre Aufgaben oft kombiniert.

Einen HTTPS-Austausch zuordnen

Bei HTTP/2 über HTTPS gehören HTTP und TLS zur TCP/IP-Anwendungsschicht. TCP stellt die Übertragung an Serverport 443 auf der Transportschicht bereit. IP übernimmt die Adressierung auf der Internetschicht; Ethernet übernimmt Framebildung und Signalübertragung auf der Netzzugangsschicht.

Netzwerkfachleute verwenden für nummerierte Beschreibungen weiterhin die OSI-Nummerierung: „Routing auf Schicht 3“, „Layer-2-Switch“ oder „Loadbalancer auf Schicht 7“. Wer die Internetschicht im vierschichtigen TCP/IP-Modell als zweites Feld von unten zählt, würde diese Kurzform falsch verstehen.

Um ein Protokoll zuzuordnen, frag zuerst, welche Aufgabe es erfüllt. Untersuche dann, was seine Nachrichten überträgt. Der Träger grenzt die Auswahl oft ein, doch die Funktion entscheidet, wenn ein Protokoll Aufgaben kombiniert oder auf einem anderen Transportprotokoll aufbaut.

Mit der Hauptaufgabe beginnen

HTTP, DNS, DHCP, FTP, SFTP, TFTP, SSH, Telnet, SMTP, IMAP, POP3, SNMP, NTP, LDAP, SMB, RDP, SIP und Syslog stellen Anwendungen Dienste bereit. Sie gehören zur OSI- und zur TCP/IP-Anwendungsschicht. Zeichenkodierungen wie ASCII und UTF-8, Medienformate wie JPEG und MPEG sowie Verschlüsselung beschreiben Funktionen der Darstellungsschicht; RPC ist ein gängiges Beispiel für die Sitzungsschicht.

TCP und UDP erfüllen Aufgaben der Transportschicht. IPv4, IPv6, ICMP, ICMPv6, GRE-Tunneling sowie AH und ESP von IPsec erfüllen Aufgaben der Vermittlungs- beziehungsweise Internetschicht. OSPF tauscht Routinginformationen direkt innerhalb von IP aus und wird ebenfalls Schicht 3 zugeordnet.

Ethernet-Framebildung, WLAN-MAC-Funktionen, PPP, VLAN-Tagging (802.1Q) und Spanning Tree Protocol (STP) sind Funktionen der Sicherungsschicht. Signalübertragung über Kupfer oder Glasfaser, Steckverbinder, 1000BASE-T und WLAN-Funkübertragung sind Funktionen der Bitübertragungsschicht. Ethernet und WLAN erstrecken sich jeweils über beide unteren Schichten.

Einen Dienst von den verarbeiteten Informationen unterscheiden

DNS (Domain Name System) fragt Informationen zu Namen ab, darunter IP-Adressen, dient aber Anwendungen und wird über UDP oder TCP auf Port 53 übertragen. DHCP (Dynamic Host Configuration Protocol) stellt IP-Einstellungen bereit, doch seine Nachrichten nutzen UDP-Serverport 67 und Clientport 68. Die Verarbeitung einer IP-Adresse macht keinen der beiden Dienste zu einem Protokoll der Vermittlungsschicht.

ICMP (Internet Control Message Protocol) berichtet über die IP-Zustellung und überträgt Echomeldungen für ping. Es wird direkt von IP übertragen und hat keine TCP- oder UDP-Ports. Seine Zuordnung zur Vermittlungsschicht folgt aus seiner Steuerungsaufgabe, nicht aus einem eigenen Header innerhalb von IP.

Schichtübergreifende Protokolle einordnen

ARP (Address Resolution Protocol) ermittelt die MAC-Adresse zu einer IPv4-Adresse auf der lokalen Verbindung. Seine Nachrichten werden direkt in Ethernet-Frames übertragen, ohne IP-Header. ARP unterstützt die IP-Zustellung durch lokale MAC-Zustellung und wird daher üblicherweise Schicht 2 zugeordnet; die informelle Bezeichnung „Schicht 2,5“ beschreibt diese Rolle an der Schnittstelle.

TLS bietet Verschlüsselung. Bei HTTP/1.1 und HTTP/2 überträgt HTTPS HTTP innerhalb von TLS über TCP. TLS gehört zur TCP/IP-Anwendungsschicht und wird üblicherweise der OSI-Darstellungsschicht zugeordnet. Das Wort „Transport“ im vollständigen Namen Transport Layer Security macht TLS nicht zu einem gleichrangigen Protokoll von TCP oder UDP.

QUIC wird innerhalb von UDP übertragen, bietet aber Transportfunktionen, darunter zuverlässige Datenströme und Verbindungsverwaltung. HTTP/3 nutzt QUIC; dabei sind ein TLS-1.3-Handshake in den QUIC-Verbindungsaufbau und die Verschlüsselung der QUIC-Pakete eingebaut. Deshalb ist „innerhalb von UDP“ ein hilfreicher Hinweis, aber kein allgemeingültiger Test für die Zuordnung zur Anwendungsschicht.

Aus demselben Grund bleibt SSH auf der Anwendungsschicht, obwohl es Verschlüsselung enthält. Der gesamte Zweck eines Protokolls ist entscheidend: Eine sichere Fernanmeldung ist ein Anwendungsdienst, während Verschlüsselung für sich genommen eine Funktion der Darstellungsschicht ist.

Wenn Daten einen Protokollstapel nach unten durchlaufen, fügt jede Schicht Informationen hinzu, die sie für ihre eigene Aufgabe benötigt. Kapselung bezeichnet dieses Umhüllen. Die vollständige Einheit der oberen Schicht wird zu den Nutzdaten der nächsten Schicht, also zum übertragenen Inhalt.

Von innen nach außen aufbauen

Ein Header steht vor den Nutzdaten. Ein Trailer steht dahinter. In einem Ethernet/IP/TCP-Protokollstapel fügen TCP und IP jeweils einen Header hinzu; Ethernet fügt sowohl einen Header als auch einen FCS-Trailer hinzu. Bei der physischen Übertragung wird der entstandene Frame als Bits in Signalen dargestellt.

Die Einheit einer bestimmten Schicht ist ihre Protokolldateneinheit (PDU). Verwende beim Verfolgen einer Anfrage diese Namen:

Angenommen, ein Programm sendet eine HTTP-Anfrage über TCP. TCP fügt seinen Header mit Ports und Sequenzinformationen hinzu. IPv4 ergänzt seinen Header um dieses Segment. Ethernet fügt seinen Header um das Paket und eine FCS dahinter hinzu. Die Anfrage bleibt in jeder größeren Einheit enthalten; die Schichten ersetzen sie nicht durch andere Nachrichten ohne Bezug zu ihr.

Das nächste Protokoll bestimmen

Der Empfänger muss auswählen können, welches Protokoll die Nutzdaten verarbeitet. Der Ethernet-EtherType bezeichnet IPv4 mit 0x0800, IPv6 mit 0x86DD und ARP mit 0x0806. ARP gelangt daher direkt von Ethernet zur ARP-Verarbeitung, ohne IP zu durchlaufen.

Das IPv4-Feld Protokoll bezeichnet TCP mit 6, UDP mit 17 und ICMP mit 1. IPv6 nennt sein entsprechendes Feld Next Header. Nach der Transportverarbeitung bezeichnet ein Zielport wie TCP 443 den empfangenden Dienst.

Das sind drei verschiedene Auswahlmerkmale. EtherType wählt das Protokoll innerhalb eines Frames; das IP-Feld wählt das Protokoll innerhalb eines Pakets; der Zielport wählt das empfangende Programm. TCP- und UDP-Ports kommen in ICMP-Nachrichten nicht vor.

Beim Empfänger auspacken

Die Entkapselung entfernt zuerst die äußerste Hülle. Die Schnittstelle empfängt Signale und gewinnt daraus Bits. Ethernet prüft die FCS und nutzt EtherType, um die Nutzdaten an IP zu übergeben. IP prüft die Zustellinformationen und gibt die Nutzdaten an das benannte Transportprotokoll weiter. TCP verarbeitet seinen Header und stellt dem empfangenden Programm die Anwendungsbytes zu.

Die FCS ist ein 32 Bit langer Wert einer zyklischen Redundanzprüfung (CRC) zum Erkennen beschädigter Frames. Sie wird zusammen mit den lokalen Frameinformationen entfernt und nicht als Teil der Anwendungsnachricht zugestellt.

Vor jedem Ethernet-Frame sendet die Bitübertragungsschicht eine 7 Byte lange Präambel und einen 1 Byte langen Start Frame Delimiter (SFD) zur Synchronisierung. Diese acht Bytes liegen außerhalb der gezählten Ethernet-Framegröße.

Ein Switch liest Frameinformationen für die lokale Weiterleitung. Ein Router entfernt den eingehenden Frame, untersucht IP und erstellt einen weiteren Frame für die nächste Verbindung. Ein Endhost verarbeitet den Protokollstapel bis hinauf zur Anwendung. Die Beschreibung der üblichen Aufgabe jeder Schicht erklärt, warum ein Router verschlüsselte Inhalte weiterleiten kann, ohne die Anwendungsnachricht zu lesen.

Header benötigen ebenso wie Anwendungsdaten Platz. Um die Größe der übertragenen Daten zu berechnen, benenne den Protokollstapel, notiere seine Headergrößen und rechne von innen nach außen. Sowohl das größte zulässige Paket als auch der kleinste zulässige Ethernet-Frame beeinflussen das Ergebnis.

Was die einzelnen Größen umfassen

IPv4- und TCP-Header können durch Optionen jeweils auf 60 Byte anwachsen. Die MTU, die maximale Übertragungseinheit, umfasst das Paket der Schicht 3. Standard-Ethernet hat eine MTU von 1.500 Byte. Zusammen mit den 18 Byte Protokoll-Overhead der lokalen Verbindung ergibt das einen Frame von 1.518 Byte oder mit VLAN-Tag 1.522 Byte. Wenn Jumbo-Frames aktiviert sind, verwenden sie häufig eine MTU von 9.000 Byte.

Die MSS, die maximale Segmentgröße, umfasst die TCP-Anwendungsdaten. Ohne IP- oder TCP-Optionen stehen folgende TCP-Nutzdaten zur Verfügung:

Für IPv6 ohne Erweiterungsheader oder TCP-Optionen sind es:

Würdest du den Ethernet-Overhead zur MTU addieren, würdest du den verfügbaren Platz innerhalb des Pakets zu groß ansetzen.

Einen Frame von innen nach außen berechnen

Für 1.000 Byte HTTP-Daten über TCP, IPv4 und Ethernet ohne Tag und ohne Optionen:

1. TCP-Segment: 1.020 Byte, bestehend aus den Daten und zusätzlichen 20 Byte.
2. IP-Paket: 1.040 Byte, nach Addition weiterer 20 Byte.
3. Ethernet-Frame: 1.058 Byte, nach Addition von 18 Byte.

Der Protokoll-Overhead beträgt 58 Byte. Der Nutzdatenanteil beträgt:

Mit demselben Protokollstapel benötigt eine Übertragung von 4.000 Byte Anwendungsdaten bei einer MSS von 1.460 drei Segmente: 1.460, 1.460 und 1.080 Byte Daten. Ihre Frames sind 1.518, 1.518 und 1.138 Byte groß. Insgesamt sind es 4.174 Byte, darunter 174 Byte Header und Trailer. Jedes Segment benötigt seine eigenen Header.

Kleine Nachrichten und minimale Frames

Eine 40 Byte große DNS-Anfrage über UDP und IPv4 wird zu einem 48 Byte großen Datagramm, einem 68 Byte großen Paket und einem 86 Byte großen Ethernet-Frame ohne Tag. Ihr Nutzdatenanteil beträgt etwa 46,5 %. Volle TCP-Nutzdaten von 1.460 Byte belegen etwa 96,2 % ihres 1.518 Byte großen Frames.

Ethernet-Frames müssen mindestens 64 Byte lang sein und mindestens 46 Byte Nutzdaten enthalten. Eine TCP-Bestätigung ohne Anwendungsdaten hat bei minimalen Headern ein 40 Byte großes IPv4-Paket. Ethernet fügt vor der FCS 6 Byte Padding hinzu, sodass ein 64 Byte großer Frame entsteht.

Die Grenzen auseinanderhalten

Die TCP-Segmentierung teilt Anwendungsdaten auf Schicht 4. Die IP-Fragmentierung teilt ein Paket auf Schicht 3, wenn es für eine Verbindung zu groß ist. IPv4-Router können fragmentieren, wenn es erlaubt ist; IPv6-Router fragmentieren nie, daher muss der Sender die Größenbeschränkung des Pfads berücksichtigen.

Die Framegrößen hier schließen Präambel, SFD und die Zeit zwischen Frames aus. Um die Bytes eines Frames in Bits umzurechnen, multipliziere mit acht: Ein 1.518 Byte großer Frame enthält 12.144 Bit.

Ein Paket kann mehrere Netzwerke durchqueren, doch ein Ethernet-Frame dient einer lokalen Verbindung. Wenn du beide Einheiten gleichzeitig verfolgst, verstehst du, warum ein Host für denselben Austausch die entfernte IP-Adresse und eine nahegelegene MAC-Adresse benötigt.

Den nächsten lokalen Empfänger adressieren

Betrachte einen Laptop mit 192.0.2.10 und der MAC-Bezeichnung AA. Ein Router R1 verbindet dessen Netzwerk mit dem Netzwerk eines Servers. R1 hat auf der Seite des Laptops die MAC-Bezeichnung R1-A und auf der Seite des Servers R1-B. Der Server hat 198.51.100.20 und die MAC-Bezeichnung SS. Diese kurzen MAC-Bezeichnungen stehen für vollständige Schnittstellenadressen.

Der Laptop erkennt, dass der Server entfernt ist. Sein Standardgateway, R1, ist der nächste Empfänger auf der lokalen Verbindung. ARP liefert die MAC-Adresse des Gateways. Bei einer TCP-Verbindung zu Serverport 443 sind die Adressen wie folgt verschachtelt:

Der Laptop verwendet SS nicht als lokale Ziel-MAC-Adresse. SS gehört zum endgültigen Zielhost in einem anderen Netzwerk; R1-A gehört zu dem Gerät, das diesen ersten Frame empfangen kann.

Einen Switch und einen Router passieren

Ein Layer-2-Switch liest die Ziel-MAC-Adresse, findet den Port in Richtung R1-A und leitet den Frame weiter. Gewöhnliches Switching ersetzt die Quell- und Ziel-MAC-Adressen nicht.

R1 prüft die FCS des empfangenen Frames und entfernt dessen Header und Trailer. Er liest die Ziel-IP-Adresse, schlägt die Route nach und verringert die TTL um eins. Dann erstellt er einen neuen Frame auf der Verbindung zur Serverseite. Dieser Frame hat R1-B als Quelle und SS als Ziel, das über ARP ermittelt wurde. Seine FCS deckt diesen neuen Frame ab.

Quell- und Ziel-IP-Adresse sowie TCP-Ports bleiben auf diesem gewöhnlichen gerouteten Pfad gleich. Der IP-Header bleibt nicht vollständig unverändert: Die TTL sinkt und die Header-Prüfsumme von IPv4 wird aktualisiert. Die Netzwerkadressübersetzung (NAT) ist eine Ausnahme vom Erhalt der Endpunktadressen, weil sie IP-Adressen und oft auch Ports umschreibt.

Router-Hops mit TTL zählen

Ein Paket, das mit TTL 64 gesendet wird, erreicht das Ziel nach drei Weiterleitungsschritten durch Router mit TTL 61. Verringert ein Router die TTL auf null, verwirft er das Paket und sendet normalerweise ICMP Time Exceeded zurück. IPv6 nutzt ein Hop-Limit-Feld für denselben Zweck, Schleifen zu begrenzen.

traceroute unter Linux oder macOS und tracert unter Windows nutzen Testpakete mit wechselnden TTL-Werten, um antwortende Hops zu ermitteln. Ein * bedeutet, dass für dieses Testpaket keine Antwort eingetroffen ist. Der Router kann Datenverkehr dennoch weiterleiten und gleichzeitig Diagnoseantworten filtern oder begrenzen. Vergleiche daher spätere Antworten und Diensttests, bevor du eine Ausfallstelle benennst.

Zum Client zurückkehren

Der Server entfernt den lokalen Frame und verarbeitet das Paket und das TCP-Segment bis zum Webdienst. Eine Antwort kehrt die Rollen der Endpunkte um: IP-Adresse und Port des Servers werden zur Quelle, IP-Adresse und Clientport des Laptops zum Ziel. Router erstellen erneut Frames für ihre ausgehenden Verbindungen. Der Rückweg kann über andere Router führen, doch jeder lokale Frame ist weiterhin an seinen nächsten Empfänger adressiert.

TCP und UDP nutzen beide Ports, um Daten auf Schicht 4 zwischen Programmen zu übertragen. Die Wahl hängt davon ab, was die Anwendung benötigt, wenn Pakete verzögert werden, verloren gehen oder in falscher Reihenfolge ankommen.

Was TCP bereitstellt

Das Transmission Control Protocol (TCP) ist verbindungsorientiert. Ein Drei-Wege-Handshake (SYN, SYN-ACK, ACK) baut vor dem normalen Datenaustausch die Verbindung auf. Bestätigungen teilen dem Sender mit, was angekommen ist, und erneute Übertragungen stellen fehlende Daten wieder her. Sequenzinformationen ermöglichen TCP, Bytes in der richtigen Reihenfolge bereitzustellen.

Die Flusskontrolle schützt einen Empfänger vor einem zu schnellen Sender. Die Überlastkontrolle passt das Senden an die Netzwerklast an. Das sind unterschiedliche Probleme: Das eine betrifft die Kapazität des empfangenden Hosts, das andere das Netzwerk, das den Datenverkehr überträgt. Der TCP-Header ist ohne Optionen 20 Byte lang und kann 60 Byte erreichen.

TCP stellt einen zuverlässigen, geordneten Bytestrom bereit, aber nach einem Verbindungsausfall kann eine Anwendung dennoch eine unvollständige Datei haben. Die Anwendung muss den Fehler behandeln oder den Vorgang fortsetzen; TCP kann über einen nicht verfügbaren Pfad keine Daten zustellen.

Was UDP bereitstellt

Das User Datagram Protocol (UDP) ist verbindungslos. Es sendet unabhängige Datagramme ohne Handshake, Bestätigungen, erneute Übertragung oder Wiederherstellung der Reihenfolge auf der Transportschicht. Sein 8 Byte langer Header enthält Quellport, Zielport, Länge und Prüfsumme.

UDP kann Eins-zu-eins-Verkehr, Broadcast und Multicast unterstützen. Eine TCP-Verbindung verbindet zwei Endpunkte. Der kleinere Header von UDP und der Verzicht auf eine eingebaute Wiederherstellung reduzieren den Transport-Overhead. „Unzuverlässig“ beschreibt aber das Fehlen von Zustellgarantien, nicht die Erwartung, dass der größte Teil des Datenverkehrs verloren geht.

Nach den zeitlichen Anforderungen der Anwendung wählen

Ein Live-Sprachpaket kann 20 ms Ton enthalten. Geht es verloren, kommt ein Ersatz 100 ms später für den Wiedergabezeitpunkt zu spät. Ein Anruf kann mit einer kleinen Lücke fortgesetzt werden, weshalb UDP gut passt. Ein heruntergeladenes Dokument benötigt alle Bytes in der richtigen Reihenfolge, daher passt die Wiederherstellung durch TCP zu dieser Aufgabe.

Kurze Anfragen wie bei DNS, DHCP, NTP und SNMP nutzen ebenfalls häufig UDP. DNS nutzt zusätzlich TCP-Port 53 für Zonenübertragungen und wenn eine Antwort TCP benötigt. Der SIP-Anrufaufbau kann UDP oder TCP auf Port 5060 nutzen.

Anwendungen können oberhalb von UDP Funktionen ergänzen. TFTP bestätigt seine Blöcke und QUIC stellt zuverlässige verschlüsselte Verbindungen über UDP bereit. Wenn du UDP in einem Mitschnitt siehst, bedeutet das daher nicht, dass der Anwendung eine Wiederherstellung fehlt.

Abrufvideos puffern oft im Voraus und nutzen HTTPS über TCP oder HTTP/3 über QUIC. „Video bedeutet UDP“ übersieht den Unterschied zwischen einem Livegespräch mit unmittelbarer Frist und gespeichertem Video, bei dem Zeit zur Wiederherstellung fehlender Daten bleibt.

Eine IP-Adresse bezeichnet einen Host, aber viele Programme können diesen Host gleichzeitig nutzen. TCP und UDP ergänzen jeweils Quell- und Zielportnummern, damit eingehende Daten den richtigen Dienst oder die richtige Verbindung erreichen.

Dienste und Clientverbindungen unterscheiden

Ein Port ist eine 16-Bit-Zahl von 0 bis 65.535. Ein Server lauscht an einem bekannten Port auf Datenverkehr, etwa TCP 443 für HTTPS. Ein Client wählt beim Öffnen einer Verbindung normalerweise einen vorübergehenden Quellport, den ephemeren Port.

RFC 6335 gruppiert die Nummern wie folgt:

Die IANA weist System- und Benutzerports zu; dynamische Ports werden nicht zugewiesen. Der dynamische Bereich und der tatsächlich von einem Betriebssystem für vorübergehende Ports genutzte Bereich sind unterschiedliche Konzepte. Windows nutzt standardmäßig 49152–65535 für vorübergehende Ports, Linux häufig 32768–60999. Ein Administrator kann diese Einstellungen ändern.

Einen Endpunkt und eine Verbindung erkennen

Ein Socket bezeichnet einen Transportendpunkt anhand von IP-Adresse, Port und Transportprotokoll. Beispielsweise bezeichnet TCP 198.51.100.20:443 einen HTTPS-Serverendpunkt. TCP 53 und UDP 53 sind getrennte Ports, weil TCP und UDP getrennte Nummernräume haben.

Eine Verbindung wird anhand des 5-Tupels bezeichnet: Quell-IP, Quellport, Ziel-IP, Zielport und Transportprotokoll. Diese Werte unterscheiden Verbindungen auch dann, wenn mehrere Clients einen Serverport nutzen.

Angenommen, 192.0.2.10 öffnet zwei TCP-Verbindungen zu 198.51.100.20:443. Eine nutzt Clientport 51514, die andere 51515. Ihr Serverendpunkt ist identisch, aber ihre Quellports unterscheiden sich. Der Server kann daher jede Antwort an die richtige Verbindung zurücksenden. Manche Browser verwenden Verbindungen erneut; das Beispiel beschreibt zwei getrennte Verbindungen, die geöffnet wurden.

Bei einer Antwort in der ersten Verbindung wird 198.51.100.20:443 zur Quelle und 192.0.2.10:51514 zum Ziel. Port 443 wird nicht zum Clientport, nur weil sich die Richtung umgekehrt hat.

Hinweise durch Ports sorgfältig lesen

Ein konfigurierter Dienst kann einen abweichenden Port nutzen. HTTP könnte 8080 und SSH 2222 verwenden. Die Nummer deutet auf einen üblichen Dienst hin, belegt aber nicht, welcher Inhalt tatsächlich gesendet wird. Eine Firewall, die nur Ports betrachtet, nimmt eine begrenzte Klassifizierung vor; eine Anwendungsprüfung kann den Datenverkehr selbst untersuchen.

Ein physischer Switch-Port ist ein Kabelanschluss an einer Schnittstelle. Ein Transportport ist eine Nummer in einem TCP- oder UDP-Header. Der Austausch eines Kabels wirkt sich auf die physische Verbindung aus, während die Freigabe von TCP 443 ändert, welcher Transportverkehr passieren darf. Das gemeinsame Wort „Port“ macht sie nicht zu derselben Art von Objekt.

Lerne Transportprotokoll und Port gemeinsam für jeden Dienst. TCP 53 und UDP 53 sind getrennte Transportendpunkte, obwohl beide DNS dienen können. Wenn du verwandte Dienste gruppierst, kannst du auch ähnliche Namen leichter unterscheiden.

Web, Fernzugriff und Dateien

Explizites FTPS beginnt auf 21 und stellt auf TLS um. Implizites FTPS beginnt auf 990 mit TLS. TCP 989 ist für implizite FTPS-Daten registriert; passive Übertragungen handeln Datenports aus. SFTP ist ein anderes Protokoll innerhalb von SSH. FTP wird also nicht zu SFTP, wenn du es auf Port 22 umstellst.

E-Mail und Verzeichnisdienste

SMTP nutzt TCP 25 für die Weiterleitung zwischen Servern. Clients liefern normalerweise über TCP 587 mit STARTTLS oder über TCP 465 mit TLS von Anfang an ein. Der IMAP-Abruf nutzt TCP 143, mit implizitem TLS auf TCP 993. Der POP3-Abruf nutzt TCP 110, mit implizitem TLS auf TCP 995.

LDAP-Verzeichnisabfragen nutzen TCP 389; LDAP über implizites TLS, auch LDAPS genannt, nutzt TCP 636. Ein sicherer Dienst kann auch eine bestehende Verbindung umstellen, wo dies unterstützt wird. Ein anderer Port ist also nicht die einzige Möglichkeit, mit der Protokolle TLS ergänzen.

Infrastruktur und Verwaltung

Die meisten gewöhnlichen DNS-Anfragen nutzen UDP; Zonenübertragungen nutzen TCP und Clients benötigen TCP auch für Antworten, die es erfordern. SNMPv3 kann Authentifizierung und Verschlüsselung ergänzen und dabei die Ports 161 und 162 beibehalten. Syslog kann in eingesetzten Systemen andere Transportprotokolle nutzen; UDP 514 ist die hier aufgeführte übliche Grundlage.

IP-Protokollnummern nicht mit Ports verwechseln

Das Protokollfeld des IP-Headers gibt an, was IP überträgt: ICMP 1, TCP 6, UDP 17, GRE 47, ESP 50 und AH 51. TCP und UDP stellen dann ihre eigenen Portfelder bereit. ICMP, GRE, ESP und AH haben keine TCP- oder UDP-Ports. Eine Regel, die TCP-Port 1 zulässt, lässt daher keinen ICMP-Echoverkehr zu.

Für einen Webserver, der HTTP/2 über TLS nutzt, lasse eingehendes TCP 443 zu. Bietet derselbe Server HTTP/3 an, benötigt sein QUIC-Verkehr UDP 443. Eine DNS-Regel, die nur UDP 53 zulässt, kann kleine Anfragen durchlassen und dennoch erforderliche TCP-Austausche blockieren. Stimme die Regel auf das tatsächliche Transportprotokoll und den Zielport des Servers ab.

Ordne ein Gerät anhand der Informationen ein, die es für Entscheidungen über die Verarbeitung von Datenverkehr liest. Die Bezeichnung beschreibt eine Weiterleitungs- oder Prüffunktion. Ein physisches Gerät kann mehrere Funktionen auf unterschiedlichen Schichten enthalten.

Signale, Frames und Pakete

Geräte der Schicht 1 verarbeiten Signale. Ein Repeater regeneriert ein Signal; ein Hub wiederholt eingehende Signale an allen anderen Ports. Ein Medienkonverter verbindet Medien wie Kupfer und Glasfaser. Ein Modem wandelt zwischen digitalen Daten und der auf einer Leitung des Anbieters verwendeten Signalübertragung um. Power over Ethernet (PoE) versorgt Geräte wie Telefone und Access Points über Twisted-Pair-Kabel mit Strom und ist daher eine Funktion der Bitübertragungsschicht.

Ein Layer-2-Switch lernt Quell-MAC-Adressen und die Ports, an denen sie eingehen. Er nutzt die Ziel-MAC-Adresse, um einen ausgehenden Port auszuwählen. Broadcast-Frames und Frames für unbekannte Ziele werden an andere Ports im selben lokalen Netzwerk geflutet. Eine Bridge erfüllt dieselbe grundlegende Aufgabe mit weniger Ports. Ein Access Point vermittelt zwischen WLAN- und kabelgebundenen Frames. Eine Netzwerkkarte (NIC) übernimmt die Schichten 1 und 2, einschließlich der MAC-Adresse der Schnittstelle.

Ein Router liest Ziel-IP-Adressen und leitet Pakete anhand einer Routingtabelle zwischen Netzwerken weiter. Er trennt die lokalen Broadcast-Domänen. Ein Layer-3-Switch kombiniert lokales Frame-Switching mit Routing, oft zwischen VLANs. Das Wort „Switch“ allein sagt nicht aus, ob das Gerät Routing durchführen kann.

Transport- oder Anwendungsinformationen prüfen

Ein Host wie ein Laptop, Server oder Telefon übernimmt alle sieben OSI-Funktionen. Ein „Router“ für zu Hause kombiniert meist Router, Switch, Access Point, Firewall und manchmal Modem. Die Vermittlung zwischen WLAN und Kabelnetz und das Paket-Routing sind getrennte Aufgaben im selben Gehäuse.

Gemeinsame Domänen zählen

Eine Kollisionsdomäne ist ein Bereich, in dem sich gleichzeitige Übertragungen stören können. Ein Hub nutzt für alle seine Ports eine gemeinsame Domäne. Ein Switch trennt die angeschlossenen Verbindungen. Moderne geswitchte Vollduplex-Verbindungen haben keine Kollisionen; das herkömmliche Zählen von Domänen zeigt dennoch den Unterschied zwischen Hubs und Switches.

Eine Broadcast-Domäne enthält Geräte, die ihre Broadcast-Frames gegenseitig empfangen. Hubs und gewöhnliche Switches leiten diese Frames weiter. Router trennen Broadcast-Domänen und VLANs können einen Switch in mehrere Broadcast-Domänen aufteilen.

Verbindet ein Router zwei Switches, hat Switch A mit fünf Computern sechs belegte Verbindungen einschließlich seiner Routerverbindung. Switch B mit drei Computern und einem Hub hat fünf belegte Verbindungen: drei Computer, einen Hub und eine Routerverbindung. Die vier Computer am Hub teilen sich die eine Kollisionsdomäne seiner Switch-Verbindung. Die herkömmliche Zählung ergibt 11 Kollisionsdomänen und zwei Broadcast-Domänen, wenn keine VLANs eingerichtet sind.

Frag zunächst, wer betroffen ist, welche Dienste ausfallen und was sich geändert hat. Dieses Muster hilft dir, einen Ausgangspunkt für die Fehlersuche zu wählen.

Eine Richtung wählen

Die Bottom-up-Fehlersuche prüft zunächst die physische Verbindung, dann lokale Frames, Routing und höhere Dienste. Sie ist bei unbekannter Ursache gründlich, kann aber Zeit kosten, wenn Belege bereits auf einen Anwendungsfehler hinweisen. Die Top-down-Fehlersuche beginnt beim Dienst und bewegt sich bei Bedarf zu den Schichten darunter, von denen er abhängt.

Den Test in der Mitte auswerten

Die Divide-and-Conquer-Methode nutzt häufig ping. Eine Antwort des Gateways belegt den getesteten lokalen IP/ICMP-Pfad zu diesem Gateway. Eine Antwort eines entfernten Servers belegt den getesteten Pfad zu diesem Server. Diese Ergebnisse rechtfertigen, weiter oben nach Namen, Transportports und der Anwendung zu suchen.

Ein fehlgeschlagener Ping muss weiter untersucht werden: Der Pfad kann unterbrochen sein oder ICMP kann gefiltert werden, während der Webdienst erreichbar bleibt. Prüfe dies mit einem Test des tatsächlichen Dienstes.

Die Pfadverfolgung untersucht Geräte entlang der Route, oft mit traceroute oder tracert. Ein nicht antwortender Hop kann Datenverkehr dennoch weiterleiten. Vergleiche spätere Antworten und, wo möglich, Tests von Geräten auf beiden Seiten, bevor du diesem Hop einen Weiterleitungsfehler zuschreibst.

Die Symptome leiten die erste Prüfung

Angenommen, alle Arbeitsplätze in einem Raum verlieren jede Verbindung, während benachbarte Räume funktionieren. Beginne mit der Bottom-up-Fehlersuche bei gemeinsam genutzten Geräten: Stromversorgung des Switches, sein Uplink und die Link-LEDs. Der Austausch eines verdächtigen Kabels gegen ein nachweislich funktionierendes kann diese Abhängigkeit prüfen.

Kann ein Konto keine E-Mails einliefern, während Webzugriff und andere Dienste funktionieren, beginne von oben bei Servername, Einlieferungsport und Fehlermeldung dieses Kontos. Das enger eingegrenzte Muster weist auf eine dienstspezifische Prüfung hin.

Vergleiche nach Möglichkeit ein fehlerhaftes Gerät mit einem funktionierenden. Ändere eine Sache, wiederhole denselben Test und halte das Ergebnis fest. Nimm eine erfolglose Änderung zurück, bevor du eine weitere versuchst. Wenn du Kabel, Gateway und DNS-Einstellungen gleichzeitig änderst, kann der Zugriff wieder funktionieren, ohne dass du weißt, welche Änderung entscheidend war.

Ein Symptom gibt einen Hinweis darauf, wo du suchen solltest; ein Test liefert einen Beleg. Wähle das Werkzeug passend zu der Aufgabe, die du prüfen möchtest, und berücksichtige bei der Auswertung Ziel, Protokoll und Ergebnis gemeinsam.

Signale und lokale Zustellung prüfen

Auf Schicht 1 können fehlende Link-LEDs, ein nicht angeschlossenes Kabel, ein ausgeschaltetes Gerät, eine zu große Kabellänge oder Störungen die Kommunikation verhindern. Prüfe Stromversorgung und Steckverbinder, teste das Kabel oder ersetze es durch ein nachweislich funktionierendes.

Auf Schicht 2 kann die physische Verbindung bestehen, während lokale Frames nicht zugestellt werden. Eine falsche VLAN-Zugehörigkeit kann Geräte trennen, die ein lokales Netzwerk teilen sollten. Ein Duplexkonflikt kann schlechte Leistung und Fehler verursachen; zunehmende CRC-Fehler können ebenfalls auf Signal- oder Verkabelungsprobleme hinweisen. Lies die Schnittstellenstatistiken des Switches und vergleiche beide Enden. arp -a zeigt die auf einem Host gelernten Zuordnungen von IPv4- zu MAC-Adressen.

Auf Cisco-Geräten zeigt show interfaces den Schnittstellen- und Leitungsprotokollstatus an. „up/up“ bedeutet, dass die physische Verbindung und die Sicherungsschicht aktiv sind. „down/down“ lenkt die Aufmerksamkeit oft auf Stromversorgung, Verkabelung oder ein anderes physisches Problem. „up/down“ bedeutet, dass eine physische Verbindung besteht, während das Leitungsprotokoll nicht aktiv ist; eine nicht übereinstimmende Kapselung ist eine mögliche Ursache.

IP-Erreichbarkeit und Transportzugriff prüfen

Prüfe auf Schicht 3 Schnittstellenadressen und Gateway-Einstellungen mit ipconfig unter Windows, ip address unter Linux oder ifconfig unter macOS. Falsche Einstellungen oder fehlende Routen können verhindern, dass Pakete ein anderes Netzwerk erreichen. Nutze ping für die IP-Erreichbarkeit und tracert unter Windows oder traceroute unter Linux/macOS für antwortende Hops.

Teste auf Schicht 4 den tatsächlichen Port des Dienstes. Ein Server kann auf Ping antworten, während eine Firewall TCP 443 blockiert oder kein Webdienst lauscht. Nutze in Windows PowerShell Test-NetConnection 203.0.113.25 -Port 443; unter Linux oder macOS nutze nc -zv 203.0.113.25 443. Auf dem Server können ss unter Linux oder netstat lauschende Ports und Verbindungen anzeigen. Eine fehlgeschlagene Verbindung allein unterscheidet eine Firewall-Blockierung nicht von einem gestoppten lauschenden Dienst.

Namen und Anwendungsverhalten untersuchen

Auf den oberen Schichten erfordern eine fehlgeschlagene Namensabfrage, ein Zertifikatsfehler, ein falscher Servername oder eine fehlgeschlagene Anmeldung Belege aus der Anwendung. Nutze nslookup oder dig, um DNS-Antworten zu untersuchen. Teste HTTP/HTTPS mit einem Browser oder curl und lies die Anwendungsprotokolle auf Dienstfehler.

Den Ausfall einer Seite untersuchen

Ein Laptop kann https://intranet.example.com nicht öffnen. Zuerst ist ein Ping zu seinem Gateway erfolgreich. Danach ist ein Ping zur Server-IP 203.0.113.25 erfolgreich. Diese Ergebnisse belegen die lokalen und gerouteten Pfade, die bei diesen Tests genutzt wurden. Kann nslookup intranet.example.com keine Antwort erhalten, untersuche DNS-Abfrage und -Konfiguration auf der Anwendungsschicht.

Bei einem anderen Ergebnis wird der Name korrekt aufgelöst und der Server antwortet auf Ping, aber TCP 443 schlägt fehl. Prüfe den lauschenden Dienst auf dem Server und die entsprechende Firewall-Regel. Kommt die Verbindung zu TCP 443 zustande und meldet HTTPS einen Zertifikatsfehler, untersuche auf der höheren Schicht die Konfiguration von Zertifikat und Servername. Jeder Test grenzt die nächste Frage ein; er bestätigt nicht jede Art von Datenverkehr im Netzwerk.