Florian WildeandClaude Opus 5.5
08459d8c99
- Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
4.0 KiB
4.0 KiB
id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten
| id | titel | block | woche | worum | rahmenplan | lernfeld | merksatz | karten | ||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| N6 | Zwischen Netzen – Routing und Firewallregeln | netzwerk | 11 | Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird. |
|
LF9 | Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten. |
|
Das Wesentliche
- Eine Routingtabelle sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht: Zielnetz, nächster Router (Next Hop) und Schnittstelle.
- Die genaueste Route gewinnt (längstes Präfix). Passt nichts Genaueres, greift die
Standardroute
0.0.0.0/0– meist Richtung Internet. - Routen entstehen von selbst für direkt angeschlossene Netze, statisch von Hand oder dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt angeschlossene Netze und eine Standardroute.
- Zwischen VLANs routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine Firewall, wird aus „getrennt" endlich „geregelt".
- Eine Firewallregel besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion. Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern „Verwaltung darf den Dateiserver über SMB".
- Von oben nach unten, erste Regel gewinnt. Eine weite Erlaubnis oben macht jede Sperre darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
- Grundregel blockieren. Was nicht ausdrücklich erlaubt ist, ist verboten – nicht umgekehrt.
- Zustandsbehaftet: Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand das Prinzip nicht kannte.
- Jede Regel braucht eine Beschreibung mit Zweck und Ticketnummer. Eine Regel, deren Zweck niemand kennt, traut sich keiner zu löschen.
Übersicht
| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
|---|---|---|---|---|---|
| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | |
| 6 | beliebig | beliebig | alle | blockieren | Grundregel |
Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
Prüfungsfrage
Frage: Ein Router hat folgende Einträge: 0.0.0.0/0 → 192.0.2.1,
10.10.0.0/16 → 10.0.0.2, 10.10.30.0/24 → 10.0.0.3. Wohin leitet er Pakete an
10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
Antwort: 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
10.10.30.0/24, also an 10.0.0.3. 10.10.40.5 passt auf 10.10.0.0/16 und die
Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
Reihenfolge der Einträge in der Tabelle.