Florian WildeandClaude Opus 5.5
08459d8c99
- Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
68 lines
4.0 KiB
Markdown
68 lines
4.0 KiB
Markdown
---
|
||
id: N6
|
||
titel: Zwischen Netzen – Routing und Firewallregeln
|
||
block: netzwerk
|
||
woche: 11
|
||
worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
|
||
rahmenplan: [B2, A6, A8]
|
||
lernfeld: LF9
|
||
merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
|
||
karten:
|
||
- frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
|
||
antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
|
||
- frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
|
||
antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
|
||
- frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
|
||
antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
|
||
---
|
||
|
||
## Das Wesentliche
|
||
|
||
- **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
|
||
Zielnetz, nächster Router (Next Hop) und Schnittstelle.
|
||
- **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
|
||
**Standardroute** `0.0.0.0/0` – meist Richtung Internet.
|
||
- **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
|
||
dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
|
||
angeschlossene Netze und eine Standardroute.
|
||
- **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
|
||
Firewall, wird aus „getrennt" endlich „geregelt".
|
||
- **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
|
||
Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
|
||
„Verwaltung darf den Dateiserver über SMB".
|
||
- **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
|
||
darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
|
||
- **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
|
||
umgekehrt.
|
||
- **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
|
||
zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
|
||
das Prinzip nicht kannte.
|
||
- **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
|
||
niemand kennt, traut sich keiner zu löschen.
|
||
|
||
## Übersicht
|
||
|
||
| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
|
||
|---|---|---|---|---|---|
|
||
| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
|
||
| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
|
||
| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
|
||
| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
|
||
| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
|
||
| 6 | beliebig | beliebig | alle | blockieren | Grundregel |
|
||
|
||
Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
|
||
internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
|
||
|
||
## Prüfungsfrage
|
||
|
||
**Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
|
||
`10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
|
||
10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
|
||
|
||
**Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
|
||
`10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
|
||
Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
|
||
Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
|
||
Reihenfolge der Einträge in der Tabelle.
|