Inhalte: Wochen 9 bis 12

- Woche 9 Virtualisierung (B1, A8, LF9)
- Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10)
- Woche 11 Netze trennen und verbinden (B2, A6, LF9)
- Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7)

12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten,
2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und
Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf:
Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

content/handouts/N6-routing-und-firewallregeln.md

@@ -0,0 +1,67 @@
+---
+id: N6
+titel: Zwischen Netzen – Routing und Firewallregeln
+block: netzwerk
+woche: 11
+worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
+rahmenplan: [B2, A6, A8]
+lernfeld: LF9
+merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
+karten:
+  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
+    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
+  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
+    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
+  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
+    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
+---
+
+## Das Wesentliche
+
+- **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
+  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
+- **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
+  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
+- **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
+  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
+  angeschlossene Netze und eine Standardroute.
+- **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
+  Firewall, wird aus „getrennt" endlich „geregelt".
+- **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
+  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
+  „Verwaltung darf den Dateiserver über SMB".
+- **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
+  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
+- **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
+  umgekehrt.
+- **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
+  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
+  das Prinzip nicht kannte.
+- **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
+  niemand kennt, traut sich keiner zu löschen.
+
+## Übersicht
+
+| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
+|---|---|---|---|---|---|
+| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
+| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
+| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
+| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
+| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
+| 6 | beliebig | beliebig | alle | blockieren | Grundregel |
+
+Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
+internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
+
+## Prüfungsfrage
+
+**Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
+`10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
+10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
+
+**Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
+`10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
+Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
+Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
+Reihenfolge der Einträge in der Tabelle.