lernbar/content/lernzielkontrollen/woche-11.yaml

id: woche-11
woche: 11
titel: Lernzielkontrolle Woche 11 – Netze trennen und verbinden
dauer_minuten: 45
hinweis: >-
  Offene Fragen. Bei Rechen- und Zuordnungsaufgaben zählt die Begründung.

fragen:
  - id: f1
    frage: >-
      Erklären Sie den Unterschied zwischen einem Access-Port und einem
      Trunk-Port und nennen Sie je ein Gerät, das typischerweise daran
      angeschlossen wird.
    punkte: 5
    musterloesung: >-
      Ein Access-Port gehört zu genau einem VLAN und überträgt Rahmen ohne
      VLAN-Markierung; angeschlossen wird ein Endgerät wie ein Arbeitsplatzrechner
      oder Drucker. Ein Trunk-Port überträgt mehrere VLANs und markiert die Rahmen
      nach IEEE 802.1Q mit der VLAN-ID; angeschlossen werden ein weiterer Switch,
      ein Router bzw. eine Firewall oder ein Access Point mit mehreren
      Funknetzen. (Unterschied 3 P., Geräte je 1 P.)

  - id: f2
    frage: >-
      Aus 10.20.0.0/24 sollen drei VLANs mit je höchstens 50 Geräten versorgt
      werden. Geben Sie für jedes VLAN Netzadresse, Maske und Gateway an.
    punkte: 6
    musterloesung: >-
      50 Geräte brauchen 52 Adressen, also Blockgröße 64 (/26) mit 62 nutzbaren.
      VLAN A: 10.20.0.0/26, Gateway 10.20.0.1. VLAN B: 10.20.0.64/26, Gateway
      10.20.0.65. VLAN C: 10.20.0.128/26, Gateway 10.20.0.129. Ein Block
      (10.20.0.192/26) bleibt als Reserve. Als Gateway ist auch die jeweils
      letzte nutzbare Adresse richtig, wenn die Wahl einheitlich ist.
      (Maske mit Begründung 2 P., je VLAN 1 P., Reserve erkannt 1 P.)

  - id: f3
    frage: >-
      Eine Firewall hat für das Gästenetz folgende Regeln in dieser Reihenfolge:
      (1) Gäste nach beliebig, HTTP und HTTPS – erlauben.
      (2) Gäste nach 10.10.0.0/16, alle Dienste – blockieren.
      (3) Gäste nach Firewall, DNS – erlauben.
      (4) beliebig nach beliebig – blockieren.
      Ein Gast ruft https://10.10.20.21 auf, einen internen Server. Was passiert,
      und wie beheben Sie den Fehler?
    punkte: 6
    musterloesung: >-
      Die Verbindung wird erlaubt: Regeln werden von oben nach unten geprüft, und
      die erste passende entscheidet. HTTPS an eine beliebige Adresse passt auf
      Regel 1, Regel 2 wird nie erreicht. Behebung: Die Sperre der internen Netze
      muss vor der allgemeinen Erlaubnis stehen. Die DNS-Regel gehört an den
      Anfang: Liegt die Adresse der Firewall im Gästenetz ebenfalls in
      10.10.0.0/16, würde die Sperre sonst auch die Namensauflösung blockieren.
      Richtige Reihenfolge also 3, 2, 1, 4. (Ergebnis 2 P., Begründung 2 P.,
      Behebung 2 P. – die Reihenfolge 2, 3, 1, 4 gibt 1 P., wenn die Sperre vor der
      Erlaubnis erkannt ist.)

  - id: f4
    frage: >-
      Ein Router kennt die Routen 0.0.0.0/0 über 192.0.2.1 und 172.16.0.0/12 über
      10.0.0.2 sowie 172.16.5.0/24 über 10.0.0.3. Wohin gehen Pakete an
      172.16.5.20, 172.20.1.1 und 172.32.0.1?
    punkte: 6
    musterloesung: >-
      172.16.5.20 passt auf alle drei Routen; die genaueste ist 172.16.5.0/24,
      also über 10.0.0.3. 172.20.1.1 liegt in 172.16.0.0/12 (172.16.0.0 bis
      172.31.255.255), also über 10.0.0.2. 172.32.0.1 liegt außerhalb davon und
      passt nur auf die Standardroute, also über 192.0.2.1. (Je Ziel 2 P.)

  - id: f5
    frage: >-
      Warum ist WPA2/WPA3-Enterprise für ein Firmen-WLAN besser geeignet als ein
      gemeinsamer Schlüssel? Nennen Sie zwei Gründe.
    punkte: 4
    musterloesung: >-
      (1) Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an; beim
      Ausscheiden eines Mitarbeiters wird nur dessen Zugang gesperrt, statt den
      Schlüssel für alle zu ändern. (2) Anmeldungen lassen sich einer Person
      zuordnen und protokollieren. Ebenfalls richtig: Der Zugang lässt sich an
      Gruppen im Verzeichnisdienst koppeln und einem VLAN zuweisen; ein
      weitergegebener Schlüssel öffnet nicht das ganze Netz. (Je Grund 2 P.)

  - id: f6
    frage: >-
      Im Lager ist das WLAN trotz voller Sendeleistung der beiden Access Points
      schlecht. Nennen Sie drei mögliche Ursachen und je eine Maßnahme.
    punkte: 6
    musterloesung: >-
      Drei aus: (1) Dämpfung durch Stahlregale und Waren – Ausleuchtung messen und
      zusätzliche Access Points an den Gängen anbringen. (2) Beide Access Points
      auf demselben oder einem überlappenden Kanal im 2,4-GHz-Band – auf 1, 6 und
      11 verteilen oder 5 GHz nutzen. (3) Zu hohe Sendeleistung, Endgeräte
      bleiben am fernen Access Point hängen – Sendeleistung senken, mehr Access
      Points. (4) Störungen durch Fremdnetze oder Geräte – Kanalwahl anhand einer
      Messung. (5) Veraltete Endgeräte, die nur 2,4 GHz oder alte Standards können –
      Geräte tauschen oder ein eigenes Funknetz dafür. (Je Ursache mit Maßnahme 2 P.)