id: woche-11 woche: 11 titel: Lernzielkontrolle Woche 11 – Netze trennen und verbinden dauer_minuten: 45 hinweis: >- Offene Fragen. Bei Rechen- und Zuordnungsaufgaben zählt die Begründung. fragen: - id: f1 frage: >- Erklären Sie den Unterschied zwischen einem Access-Port und einem Trunk-Port und nennen Sie je ein Gerät, das typischerweise daran angeschlossen wird. punkte: 5 musterloesung: >- Ein Access-Port gehört zu genau einem VLAN und überträgt Rahmen ohne VLAN-Markierung; angeschlossen wird ein Endgerät wie ein Arbeitsplatzrechner oder Drucker. Ein Trunk-Port überträgt mehrere VLANs und markiert die Rahmen nach IEEE 802.1Q mit der VLAN-ID; angeschlossen werden ein weiterer Switch, ein Router bzw. eine Firewall oder ein Access Point mit mehreren Funknetzen. (Unterschied 3 P., Geräte je 1 P.) - id: f2 frage: >- Aus 10.20.0.0/24 sollen drei VLANs mit je höchstens 50 Geräten versorgt werden. Geben Sie für jedes VLAN Netzadresse, Maske und Gateway an. punkte: 6 musterloesung: >- 50 Geräte brauchen 52 Adressen, also Blockgröße 64 (/26) mit 62 nutzbaren. VLAN A: 10.20.0.0/26, Gateway 10.20.0.1. VLAN B: 10.20.0.64/26, Gateway 10.20.0.65. VLAN C: 10.20.0.128/26, Gateway 10.20.0.129. Ein Block (10.20.0.192/26) bleibt als Reserve. Als Gateway ist auch die jeweils letzte nutzbare Adresse richtig, wenn die Wahl einheitlich ist. (Maske mit Begründung 2 P., je VLAN 1 P., Reserve erkannt 1 P.) - id: f3 frage: >- Eine Firewall hat für das Gästenetz folgende Regeln in dieser Reihenfolge: (1) Gäste nach beliebig, HTTP und HTTPS – erlauben. (2) Gäste nach 10.10.0.0/16, alle Dienste – blockieren. (3) Gäste nach Firewall, DNS – erlauben. (4) beliebig nach beliebig – blockieren. Ein Gast ruft https://10.10.20.21 auf, einen internen Server. Was passiert, und wie beheben Sie den Fehler? punkte: 6 musterloesung: >- Die Verbindung wird erlaubt: Regeln werden von oben nach unten geprüft, und die erste passende entscheidet. HTTPS an eine beliebige Adresse passt auf Regel 1, Regel 2 wird nie erreicht. Behebung: Die Sperre der internen Netze muss vor der allgemeinen Erlaubnis stehen. Die DNS-Regel gehört an den Anfang: Liegt die Adresse der Firewall im Gästenetz ebenfalls in 10.10.0.0/16, würde die Sperre sonst auch die Namensauflösung blockieren. Richtige Reihenfolge also 3, 2, 1, 4. (Ergebnis 2 P., Begründung 2 P., Behebung 2 P. – die Reihenfolge 2, 3, 1, 4 gibt 1 P., wenn die Sperre vor der Erlaubnis erkannt ist.) - id: f4 frage: >- Ein Router kennt die Routen 0.0.0.0/0 über 192.0.2.1 und 172.16.0.0/12 über 10.0.0.2 sowie 172.16.5.0/24 über 10.0.0.3. Wohin gehen Pakete an 172.16.5.20, 172.20.1.1 und 172.32.0.1? punkte: 6 musterloesung: >- 172.16.5.20 passt auf alle drei Routen; die genaueste ist 172.16.5.0/24, also über 10.0.0.3. 172.20.1.1 liegt in 172.16.0.0/12 (172.16.0.0 bis 172.31.255.255), also über 10.0.0.2. 172.32.0.1 liegt außerhalb davon und passt nur auf die Standardroute, also über 192.0.2.1. (Je Ziel 2 P.) - id: f5 frage: >- Warum ist WPA2/WPA3-Enterprise für ein Firmen-WLAN besser geeignet als ein gemeinsamer Schlüssel? Nennen Sie zwei Gründe. punkte: 4 musterloesung: >- (1) Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an; beim Ausscheiden eines Mitarbeiters wird nur dessen Zugang gesperrt, statt den Schlüssel für alle zu ändern. (2) Anmeldungen lassen sich einer Person zuordnen und protokollieren. Ebenfalls richtig: Der Zugang lässt sich an Gruppen im Verzeichnisdienst koppeln und einem VLAN zuweisen; ein weitergegebener Schlüssel öffnet nicht das ganze Netz. (Je Grund 2 P.) - id: f6 frage: >- Im Lager ist das WLAN trotz voller Sendeleistung der beiden Access Points schlecht. Nennen Sie drei mögliche Ursachen und je eine Maßnahme. punkte: 6 musterloesung: >- Drei aus: (1) Dämpfung durch Stahlregale und Waren – Ausleuchtung messen und zusätzliche Access Points an den Gängen anbringen. (2) Beide Access Points auf demselben oder einem überlappenden Kanal im 2,4-GHz-Band – auf 1, 6 und 11 verteilen oder 5 GHz nutzen. (3) Zu hohe Sendeleistung, Endgeräte bleiben am fernen Access Point hängen – Sendeleistung senken, mehr Access Points. (4) Störungen durch Fremdnetze oder Geräte – Kanalwahl anhand einer Messung. (5) Veraltete Endgeräte, die nur 2,4 GHz oder alte Standards können – Geräte tauschen oder ein eigenes Funknetz dafür. (Je Ursache mit Maßnahme 2 P.)