Ein Netzwerk entsteht, wenn mehrere technische Systeme miteinander verbunden sind und Daten austauschen können. Dazu können Notebooks, Smartphones, Server, virtuelle Maschinen, Firewalls, Router oder andere technische Systeme gehören.

NOTEBOOK
   │
   ▼
NETZWERK
   │
   ▼
SERVER

Wichtig: Ein Netzwerk ist nicht automatisch das Internet. Bereits zwei miteinander verbundene Systeme können ein Netzwerk bilden.

Ein LAN beschreibt ein lokales Netzwerk innerhalb eines begrenzten räumlichen oder organisatorischen Bereichs – zum Beispiel eine Wohnung, ein Büro, eine Dienststelle oder ein Rechenzentrum.

PC 1 ─┐
      │
PC 2 ─┼── SWITCH
      │
PC 3 ─┘

Ein WAN verbindet Netzwerke über größere Entfernungen. Auch das Internet lässt sich vereinfacht als Zusammenschluss sehr vieler miteinander verbundener Netze verstehen.

LAN A
  │
ROUTER
  │
  ├────── WAN / INTERNET ──────┐
  │                            │
ROUTER                       ROUTER
  │                            │
LAN B                        LAN C

Ein Endgerät kommuniziert dabei nicht einfach „mit dem Internet“, sondern über mehrere Netze und technische Systeme mit einem konkreten Ziel.

Ethernet ist eine der wichtigsten Technologien für kabelgebundene lokale Netzwerke.

COMPUTER
   │
NETZWERKKABEL
   │
 SWITCH

Für uns ist zunächst entscheidend: Ethernet bildet häufig die technische Grundlage der Kommunikation innerhalb eines kabelgebundenen LANs. Später werden wir Ethernet-Informationen direkt in Wireshark sehen.

WLAN ermöglicht Netzwerkkommunikation über Funk. Aus Sicht einer Anwendung kann derselbe Dienst erreichbar sein, unabhängig davon, ob das Endgerät über Ethernet oder WLAN verbunden ist.

NOTEBOOK
    )))
    )))
ACCESS POINT
     │
     ▼
 NETZWERK

Damit ein System an einem Netzwerk teilnehmen kann, benötigt es eine Netzwerkschnittstelle – ein Netzwerkinterface. Beispiele sind Ethernet-, WLAN-, VPN- oder virtuelle Interfaces.

NOTEBOOK

├── Ethernet
├── WLAN
└── VPN

Ein Computer kann gleichzeitig mehrere Interfaces besitzen. Deshalb ist „Der Computer hat eine IP-Adresse“ häufig zu stark vereinfacht. Präziser ist: Ein Netzwerkinterface kann eine oder mehrere IP-Adressen besitzen.

Innerhalb eines lokalen Ethernet-Netzes besitzen Netzwerkinterfaces MAC-Adressen. Eine typische Schreibweise lautet:

3C:52:82:4A:91:10

Die MAC-Adresse wird für die lokale Netzwerkkommunikation verwendet. Sie ist jedoch keine unveränderliche Personen- oder Geräteidentität: MAC-Adressen können virtualisiert, softwareseitig verändert oder zufällig erzeugt werden.

IPv4 ermöglicht die logische Adressierung innerhalb und zwischen IP-Netzen. Eine typische Adresse sieht so aus:

192.168.10.25

Sie besteht aus vier Zahlenbereichen zwischen 0 und 255. Die Adresse besitzt Bedeutung innerhalb der jeweiligen Netzwerkstruktur – sie ist nicht lediglich ein beliebiger Name.

Für interne Netze sind private IPv4-Bereiche vorgesehen:

10.0.0.0     – 10.255.255.255
172.16.0.0   – 172.31.255.255
192.168.0.0  – 192.168.255.255

Dieselbe private Adresse kann gleichzeitig in vielen voneinander getrennten Netzen verwendet werden. 10.1.1.20 kann also in Organisation A und Organisation B existieren, ohne einen Konflikt zu erzeugen.

Öffentliche IPv4-Adressen können im öffentlichen Internet verwendet werden. Ein internes System kann unter einer privaten Adresse arbeiten, während seine Kommunikation an einem anderen Beobachtungspunkt unter einer öffentlichen Adresse erscheint.

CLIENT
192.168.1.20
     │
     ▼
ROUTER / NAT
     │
     ▼
ÖFFENTLICHE IP
     │
     ▼
 INTERNET

Eine IP-Adresse kann dynamisch vergeben werden, später einem anderen Interface gehören, gemeinsam von mehreren Systemen nach außen verwendet werden oder Teil virtueller Infrastruktur sein.

09:00 Uhr  192.168.1.50 → Gerät A
14:00 Uhr  192.168.1.50 → Gerät B

Ein großes Netzwerk kann in kleinere logische Netzbereiche – Subnetze – aufgeteilt werden.

NETZ A
192.168.10.x

    ROUTER

NETZ B
192.168.20.x

Die entscheidende Frage lautet: Liegt mein Kommunikationspartner in meinem eigenen Netz oder in einem anderen?

Bei IPv4 hilft die Netzmaske beziehungsweise Präfixlänge dabei, den Netzwerkanteil zu erkennen.

IP-Adresse:  192.168.10.25
Netzmaske:   255.255.255.0
Kurzform:    192.168.10.25/24

Für dieses Modul musst du keine komplizierten Subnetzberechnungen durchführen. Entscheidend ist das Prinzip: Netzmaske und Präfix helfen zu bestimmen, welche Ziele lokal und welche außerhalb des eigenen Netzes liegen.

Liegt ein Ziel außerhalb des eigenen lokalen Netzes, benötigt der Computer einen nächsten Ansprechpartner – typischerweise das Default Gateway.

CLIENT
192.168.10.25
     │
     ▼
DEFAULT GATEWAY
192.168.10.1
     │
     ▼
ANDERE NETZE

Ein Switch verbindet Teilnehmer innerhalb lokaler Ethernet-Strukturen. Vereinfacht lernt er, über welche Anschlüsse bestimmte MAC-Adressen erreichbar sind.

PC A ──────┐
           │
PC B ─── SWITCH ─── SERVER
           │
PC C ──────┘

Ein Router verbindet unterschiedliche IP-Netze miteinander.

192.168.10.0/24
       │
       ▼
     ROUTER
       │
       ▼
192.168.20.0/24

Moderne Geräte können mehrere Funktionen kombinieren. Ein typischer Heimrouter kann gleichzeitig Router, Switch, WLAN Access Point, DHCP-Server, NAT-System und Firewall sein. Das physische Gerät und seine Funktionen dürfen deshalb nicht verwechselt werden.

Ein System kennt möglicherweise die IPv4-Adresse eines lokalen Kommunikationspartners, benötigt für die Ethernet-Übertragung aber dessen MAC-Adresse. ARP – Address Resolution Protocol – hilft bei dieser Zuordnung.

Bekannt:
192.168.10.50

Gesucht:
MAC-Adresse

Vereinfacht fragt ein System im lokalen Netz: „Wer hat 192.168.10.50?“ Das passende Interface antwortet mit seiner MAC-Adresse.

IP-ADRESSE
↓ logische Netzwerkadressierung

MAC-ADRESSE
↓ lokale Ethernet-Adressierung

ARP beantwortet dabei nicht, welcher Mensch eine Adresse nutzt. Es hilft technisch dabei, eine lokale IPv4-Adresse einer Netzwerkschnittstelle zuzuordnen.

Ein Endgerät benötigt unter anderem IP-Adresse, Netzmaske und häufig ein Default Gateway. DHCP kann diese Netzwerkkonfiguration automatisch bereitstellen.

NEUES GERÄT
     │
     ▼
„Ich brauche Netzwerkkonfiguration.“
     │
     ▼
DHCP-SERVER
     │
     ▼
IP · Netzmaske · Gateway · weitere Parameter

DHCP macht den Zeitbezug besonders wichtig: Dieselbe IP-Adresse kann zu unterschiedlichen Zeitpunkten unterschiedlichen Geräten beziehungsweise Interfaces zugeordnet sein.

NAT – Network Address Translation – kann private IPv4-Kommunikation beim Übergang in andere Netze auf eine andere sichtbare Adresse umsetzen.

CLIENT
192.168.1.25
     │
     ▼
NAT / ROUTER
     │
     ▼
198.51.100.20
     │
     ▼
 INTERNET

IPv4 bietet nur eine begrenzte Anzahl möglicher Adressen. IPv6 verwendet 128-Bit-Adressen und stellt damit einen sehr viel größeren Adressraum bereit.

IPv4:  192.168.1.25
IPv6:  2001:db8:1234:5678:abcd:ef01:2345:6789

IPv6-Adressen werden hexadezimal geschrieben. Führende Nullen können weggelassen und zusammenhängende Nullbereiche mit :: verkürzt werden.

Lang:
2001:0db8:0000:0000:0212:34ff:fe56:7890

Kompakt:
2001:db8::212:34ff:fe56:7890

Auch IPv6-Adressen besitzen einen Netzanteil. Ein Beispiel ist:

2001:db8:1234:5678::/64

Das /64 beschreibt die Länge des Netzwerkpräfixes. Das Grundprinzip „Netzanteil plus weiterer Adressanteil“ kennen wir bereits von IPv4.

IPv6-Link-local-Adressen beginnen typischerweise mit fe80:: und dienen der Kommunikation innerhalb des lokalen Links.

fe80::7c2a:91ff:fe12:3456

Ein Interface kann gleichzeitig eine Link-local-Adresse und weitere IPv6-Adressen besitzen.

IPv6 hat IPv4 nicht schlagartig ersetzt. Moderne Systeme verwenden häufig beide Protokollfamilien parallel – oft als Dual Stack bezeichnet.

INTERFACE
├── IPv4: 192.168.10.25
├── IPv6: 2001:db8:1234:10::25
└── IPv6 Link-local: fe80::1234:5678

IPv6 verwendet nicht einfach ARP. Stattdessen übernimmt Neighbor Discovery unter anderem Aufgaben bei der Erkennung lokaler Nachbarn und der Netzumgebung.

IPv4  → ARP
IPv6  → Neighbor Discovery

Die konkreten Nachrichten und Protokolldetails betrachten wir später. Hier zählt das Konzept.

Mit VLANs – Virtual Local Area Networks – können Systeme logisch voneinander getrennt werden, obwohl sie an derselben physischen Switch-Infrastruktur angeschlossen sind.

             SWITCH
          /     |      \
         /      |       \
     VLAN 10  VLAN 20  VLAN 30
     Clients   Server   Admin

Segmentierung teilt größere Netze in kleinere Bereiche. Benutzer-, Server-, Administrations-, Gäste- oder Testnetze können voneinander getrennt werden.

CLIENT-NETZ
    │
    ▼
ROUTING / FIREWALL
    │
    ▼
SERVER-NETZ

Zwei Systeme innerhalb derselben Organisation müssen deshalb nicht direkt miteinander kommunizieren können. Die Architektur bestimmt, welcher Kommunikationsweg überhaupt möglich ist.

Wireshark kann Netzwerkverkehr aufzeichnen und einzelne Pakete sichtbar machen. Noch analysieren wir keine komplexen Protokolle. Wir suchen nur nach Dingen, die wir bereits kennen.

Ethernet
├── Source MAC
└── Destination MAC

IP
├── Source IP
└── Destination IP

Die erste wichtige Frage lautet dabei: An welchem Netzwerkinterface und an welchem Beobachtungspunkt wurde aufgezeichnet? Ein Mitschnitt auf dem falschen Interface kann den relevanten Verkehr vollständig verfehlen.