Zum Inhalt springen

Skript/Netzwerk/Grundlagen

Aus Foxwiki
(Weitergeleitet von Netzwerkgrundlagen/Skript)

OSI-Referenzmodell

Skript/Netzwerk/Grundlagen - Referenzmodell für Netzwerkprotokolle

Beschreibung

Open Systems Interconnection Model (OSI)

Referenzmodell für Netzwerkprotokolle als Schichtenarchitektur

Weitere Bezeichnungen

  • ISO/OSI-Modell
  • OSI-Referenzmodell
  • OSI-Schichtenmodell
  • 7-Schichten-Model
Schichten-Modell
Schicht Name
7 Application‎
6 Presentation‎
5 Session‎
4 Transport
3 Network‎
2 Data Link‎
1 Physical‎


Definierte Netzwerkprotokolle

  • Sieben aufeinander aufbauenden Schichten (Layer)
  • Festgelegte Aufgaben
  • Klare Schnittstellen
  • Protokolle der gleichen Schicht sind austauschbar

Ziele

Kommunikation über unterschiedlichste technische Systeme

  • Weiterentwicklung begünstigen

Entwicklung

1977 Beginn
1983 Erste Veröffentlichung International Telecommunication Union (ITU)
1984 Standard International Organization for Standardization (ISO)

Funktionen

Layer Name Deutsch Beschreibung
7 Application‎ Anwendung Funktionen für Anwendungen, Dateneingabe und -ausgabe
6 Presentation‎ Darstellung Umwandlung der systemabhängigen Daten in ein unabhängiges Format
5 Session‎ Sitzung Steuerung der Verbindungen und des Datenaustauschs
4 Transport Transport Zuordnung der Datenpakete zu einer Anwendung
3 Network‎ Vermittlung Routing der Datenpakete zum nächsten Knoten
2 Data Link‎ Sicherung Bit zu Frames, Prüfsummen
1 Physical‎ Bitübertragung Bit in zum Medium passendes Signal umwandeln, physikalische Übertragung
Zuordnung OSI/DoD-Schichten
OSI DoD
7 Application‎ 4 Process
6 Presentation‎ 4 Process
5 Session‎ 4 Process
4 Transport 3 Host-to-Host
3 Network‎ 2 Internet
2 Data Link‎ 1 Network Access
1 Physical‎ 1 Network Access


Dienste

Computernetze stellen Clients Dienste zur Verfügung

  • Dabei gestaltet sich die dafür erforderliche Kommunikation komplizierter, als sie zu Beginn erscheinen mag, da eine Vielzahl von Aufgaben bewältigt und Anforderungen bezüglich Zuverlässigkeit, Sicherheit, Effizienz und weitere erfüllt werden müssen
  • Die zu lösenden Probleme reichen von Fragen der elektronischen Übertragung der Signale über eine geregelte Reihenfolge in der Kommunikation bis hin zu abstrakteren Aufgaben, die sich innerhalb der kommunizierenden Anwendungen ergeben
Aufgaben

Aufgrund dieser Vielzahl von Aufgaben wurde das OSI-Modell eingeführt

  • bei dem die Kommunikationsabläufe in sieben Ebenen (auch Schichten genannt) aufgeteilt werden
  • Dabei werden auf jeder einzelnen Schicht die Anforderungen separat umgesetzt

Instanzen

Kommunikation im OSI-Modell am Beispiel der Schichten 3 bis 5
Regeln

Instanzen müssen auf Sender- und Empfängerseite nach festgelegten Regeln arbeiten

  • Verarbeitung von Daten ermöglichen
  • Die Festlegung dieser Regeln wird in einem Protokoll beschrieben und bildet eine logische, horizontale Verbindung zwischen zwei Instanzen derselben Schicht
Dienste

Jede Instanz stellt Dienste zur Verfügung, die eine direkt darüberliegende Instanz nutzen kann

  • Zur Erbringung der Dienstleistung bedient sich eine Instanz selbst der Dienste der unmittelbar darunterliegenden Instanz
  • Der reale Datenfluss erfolgt daher vertikal
  • Die Instanzen einer Schicht sind genau dann austauschbar, wenn sie sowohl beim Sender als auch beim Empfänger ausgetauscht werden können

Design und Funktionen

Verständnis von Netzwerkprotokollen
Sender Empfänger
Anwendung 7 Application 7 Application
6 Presentation‎ 6 Presentation‎
5 Session‎ 5 Session‎
Transport 4 Transport 4 Transport
3 Network‎ 3 Network‎
2 Data Link‎ 2 Data Link‎
1 Physical‎ 1 Physical‎
Media


Auf der Basis dieses Modells

  • werden Netzwerkprotokolle entwickelt
DoD-Schichenmodell

Das DoD-Schichenmodell der TCP/IP-Protokoll-Familie lässt sich auf das OSI-Refernezmodell abbilden

Analogie

Versand einer Nachricht an einen Geschäftspartner
  • Auf der Seite des Empfängers wird dieser Vorgang in umgekehrter Reihenfolge durchlaufen, bis der Geschäftspartner die Nachricht auf ein Diktiergerät gesprochen vorfindet
  • Diese Analogie zeigt nicht auf, welche Möglichkeiten der Fehlerüberprüfung und -behebung das OSI-Modell vorsieht, da diese beim Briefversand nicht bestehen
Akteur OSI-Schicht
Mensch Anwendung Nachricht auf ein Diktiergerät sprechen
Assistent Darstellung Nachricht auf Papier schreiben
Sekretär Sitzung Sekretär organisiert den Versand
Hauspostmitarbeiter Transport Hauspostmitarbeiter (gleich Transportschicht) bringt den Brief auf den Weg
Briefpost Vermittlung Geeignete Übertragungswege auswählen
Verteilstelle Sicherung Postmitarbeiter bringt nötige Vermerke auf den Briefumschlag an und gibt ihn weiter an die Verteilstelle, die der Sicherungsschicht entspricht
Transportmittel Bitübertragung Brief wird zusammen mit anderen in ein Transportmittel (LKW, Flugzeug, Zug) geladen und nach eventuell mehreren Zwischenschritten zur Verteilstelle des Empfängers tansportiert

Zusammenfassung

Ebene DoD OSI Protokolle Daten Adresse Komponente
Anwendung 4 Process 7 Application‎ HTTP SMTP FTP DNS DHCP LDAP … Ströme URL Dienst
Gateway
Proxy-Server
Content-Switch
6 Presentation‎
5 Session‎
Transport 3 Host-to-Host 4 Transport TCP
UDP 		Segment
Datagramm 		Port Firewall
Layer-4-Switch
2 Internet 3 Network‎ IPv4
IPv6 		Datagramm IP Router
Layer-3-Switch
1 Network Access 2 Data Link‎ Ethernet
WLAN
DSL
MPLS 		Frame
Symbol 		MAC Bridge
Switch
WLAN Access Point
1 Physical‎ Ethernet/Typ
Token Ring 		Signal Port Netzwerkkabel
Repeater
Hub



Netzwerk-Architektur

Übertragungsmedien

Ethernet

Ethernet - Technik für kabelgebundene Datennetze

Beschreibung

Ethernet im TCP/IP-Protokollstapel
Anwendung HTTP IMAP SMTP DNS …
Transport TCP UDP
Internet IP (IPv4, IPv6)
Netzzugang Ethernet TokenBus TokenRing WLAN …


Beschreibt, wie Netzwerkgeräte Datenpakete so formatieren und übertragen können, dass andere Geräte im gleichen lokalen oder Standort-Netzwerksegment sie erkennen, empfangen und verarbeiten können.

  • Ursprünglich für lokale Netzwerke gedacht (daher auch LAN-Technik).
  • Ermöglicht Datenaustausch in Form von Datenframes zwischen den in einem lokalen Netz (LAN) angeschlossenen Geräten.
Technik für kabelgebundene Datennetze
Bereich Beschreibung
Software Protokolle, Rahmenformate, …
Hardware Kabel, Verteiler, Netzwerkkarten, …
Übertragungsraten
Spezifiziert
  • 1, 10 Megabit/s
  • 100 Megabit/s (Fast Ethernet)
  • 1000 Megabit/s (Gigabit-Ethernet)
  • 2,5, 5, 10, 25, 40, 50, 100, 200 und 400 Gigabit/s spezifiziert
In Entwicklung
  • 800 Gigabit/s und 1,6 Terabit/s
Ausdehnung

In seiner ursprünglichen Form erstreckt sich das LAN dabei nur über ein Gebäude; Ethernet-Standard-Varianten über Glasfaser haben eine Link-Reichweite von bis zu 80 km, proprietäre auch mehr.

Die Ethernet-Protokolle umfassen Festlegungen für Kabeltypen und Stecker sowie für Übertragungsformen (Signale auf der Bitübertragungsschicht, Paketformate).

  • Im OSI-Modell ist mit Ethernet sowohl die physische Schicht (OSI Layer 1) als auch die Data-Link-Schicht (OSI Layer 2) festgelegt.
Ethernet entspricht weitestgehend der IEEE-Norm 802.3
  • Es wurde ab den 1990ern zur meistverwendeten LAN-Technik und
  • hat andere LAN-Standards wie Token Ring verdrängt
  • oder zu Nischenprodukten für Spezialgebiete gemacht
    • ARCNET in Industrie- und Fertigungsnetzen
    • FDDI in hoch verfügbaren Netzwerken,
Basis für höhere Protokolle auf OSI-Layser 3

Für Anwendungen, in denen hohe Anforderungen an die Zuverlässigkeit der Kommunikation gestellt werden, kommt Echtzeit-Ethernet zum Einsatz.[1]

Ethernet ist heute der verbreitetste Standard für lokale Netze (LANs)

Viele Hersteller unterstützen diese Art von Netzwerken mit Hard- und Software

MAC-Adresse
  • Jede Ethernet-Schnittstelle, also die Netzwerkkarte oder der fest eingebaute Anschluss, ist mit einer weltweit einmaligen Identifikationsnummer ausgestattet
  • der MAC-Adresse (für Media Access Control, einer der beiden Bestandteile der OSI-Netzzugangsschicht).
  • Es handelt sich um eine 48 Bit lange Zahl, die in sechs hexadezimalen Blöcken zwischen 0 und 255 (00 bis FF hex) geschrieben wird, zum Beispiel 00-A0-C9-E8-5F-64.

siehe MAC-Adresse

Frames

Die Datenpakete - auf der Netzzugangsschicht Frames genannt - werden mit den MAC-Adressen der sendenden und der empfangenden Station versehen und in der Regel an alle Stationen im Segment versandt.

  • Jede Station überprüft daraufhin, ob die Daten für sie bestimmt sind.
  • Im Übrigen kann man Ethernet-Schnittstellen auch in den Promiscuous Mode schalten, in dem sie ohne Unterschied alle Daten entgegennehmen.
  • Auf diese Weise kann der gesamte Datenverkehr in einem Netzsegment überwacht werden.

Die MAC-Adresse wird normalerweise nicht über das jeweilige Teilnetz hinaus weiterverbreitet.

Ausnahmen
Das im weiteren Verlauf des Kapitels beschriebene IPX/SPX-Protokoll verwendet die MAC-Adresse auch für die Adressierung auf der Netzwerkschicht, und die IP-Weiterentwicklung IPv6 benutzt die MAC-Adresse als Teil der 128 Bit langen IP-Adresse.

Nach außen ergäbe ihre Verwendung auch keinen Sinn, da das nächste Teilnetz auf einer Route womöglich noch nicht einmal zum Ethernet-Standard gehört.

Namensherkunft
  • Kompositum aus ether (englisch für Äther), das Medium zur Ausbreitung von Funkwellen, und net (englisch für Netz).
  • Begriff entstand um 1973 am Xerox Forschungszentrum.
Verwendung
  • Kommunikation von Computer, Drucker, Scanner, ...
  • Anbinden zentraler Speichersystemen, Überwachungssystemen, ...
  • Daten- und Nachrichtenverkehr
Die am meisten verwendete Netzwerktechnik (Basis für einen Großteil der Netzwerkkarten)

Ethernet basiert auf der Idee, dass die Teilnehmer eines LANs Nachrichten durch Hochfrequenz übertragen, allerdings nur innerhalb eines gemeinsamen Leitungsnetzes.

  • Jede Netzwerkschnittstelle hat einen global eindeutigen 48-Bit-Schlüssel, der als MAC-Adresse bezeichnet wird.
  • Tatsächlich werden MAC-Adressen teilweise mehrfach ausgegeben, aber die Hersteller versuchen durch geografische Trennungen lokale Kollisionen zu vermeiden.
  • Da MAC-Adressen modifizierbar sind, muss man darauf achten, keine doppelten Adressen im selben Netz zu verwenden, da es sonst zu Fehlern kommt.
  • Ethernet überträgt die Daten auf dem Übertragungsmedium im sogenannten Basisbandverfahren und in digitalem Zeitmultiplex.

Umwandlung in einen Datenstrom

Nachdem der Datenstrom als Folge von Bytes bereitgestellt wurde, werden nun abhängig vom physischen Medium und der Übertragungsrate ein oder mehrere Bit in einen Leitungscode kodiert, um einerseits die physischen Eigenschaften des Mediums zu berücksichtigen und andererseits dem Empfänger eine Taktrückgewinnung zu ermöglichen.

  • So wird, je nach Code, die erlaubte Frequenz-Bandbreite nach unten (Gleichspannungsfreiheit) und oben limitiert.

In übertragungsfreien Zeiten, also zwischen zwei Frames, kommt es definitionsgemäß zu Ruhepausen ("Inter-Frame-Spacing") mit einer gewissen Mindestlänge.

  • Bei physischem Halbduplex-Modus schaltet sich in dieser Zeit der Sender ab, um anderen Stationen auf dem geteilten Medium Zugriff zu ermöglichen.
  • Bei moderneren Medientypen mit physischem Vollduplex-Modus wird eine Trägerschwingung aufrechterhalten, die dem Empfänger ein schnelleres Aufsynchronisieren auf den Datenstrom ermöglicht.
  • Außerdem können in der sendefreien Zeit Out-of-Band-Informationen zwischen den Stationen ausgetauscht werden.

Bei manchen physischen Vollduplex-Medientypen wie beispielsweise 10BASE-T deaktiviert sich die Sendestation trotz exklusiven Zugriffs auf das Medium zwischen den Frames.

  • Hier wird die sendefreie Zeit zur Out-of-Band-Signalisierung (Link-Pulse, Fast-Link-Pulse) der Link-Parameter genutzt.



Switches

Switch - Kabelkonzentrator auf OSI-Layer 2

Beschreibung

Kommunikation zwischen Netzwerkgeräten
5-Port-Switch
Switch mit 50 Ethernet-Ports

Switches verwalten den Datenfluss über ein Netzwerk, indem sie ein empfangenes Netzwerkpaket nur an das eine oder die mehrere Geräte senden, für die das Paket bestimmt ist

  • Jedes mit einem Switch verbundene Netzwerkgerät kann anhand seiner Netzwerkadresse identifiziert werden, sodass der Switch den Verkehrsfluss lenken und so die Sicherheit und Effizienz des Netzwerks maximieren kann
Ein Netzwerk mit zentralem Switch bildet eine Stern-Topologie.
Switch (vom Englischen für "Schalter", "Umschalter" oder "Weiche", auch Netzwerkweiche oder Verteiler genannt) bezeichnet ein Kopplungselement in Rechnernetzen, das Netzwerksegmente miteinander verbindet
  • Es sorgt innerhalb eines Segments (Broadcast-Domain) dafür, dass die Datenpakete, sogenannte "Frames", an ihr Ziel kommen
  • Im Unterschied zu einem auf den ersten Blick ähnlichen Repeater-Hub werden Frames aber nicht einfach an alle anderen Ports weitergeleitet, sondern nur an den, an dem das Zielgerät angeschlossen ist - ein Switch trifft eine Weiterleitungsentscheidung anhand der selbsttätig gelernten Hardware-Adressen der angeschlossenen Geräte
Der Begriff Switch bezieht sich allgemein auf eine Multiport-Bridge - ein aktives Netzwerkgerät, das Frames anhand von Informationen aus dem Data Link Layer (Layer 2) des OSI-Modells weiterleitet
  • Manchmal werden auch die präziseren Bezeichnungen Bridging Hub oder Switching Hub verwendet, im IEEE 802.3-Standard heißt die Funktion MAC Bridge. (Packet "Switching" ist aus der leitungsvermittelnden Technik entlehnt, tatsächlich wird nichts "geschaltet".
  • Der erste EtherSwitch wurde im Jahr 1990 von Kalpana eingeführt
Dass dem Switch vergleichbare Gerät auf Netzwerkschicht 1 (Layer 1) wird als (Repeater-)Hub bezeichnet
  • Switches, die zusätzlich Daten auf der Netzwerkschicht (Layer 3 und höher) verarbeiten, werden oft als Layer-3-Switches oder Multilayer-Switches bezeichnet und können die Funktion eines Routers erfüllen
  • Neben Ethernet-Switches gibt es Fibre-Channel-Switches, auch SAS-Expander werden immer häufiger als Switches bezeichnet
  • Fibre Channel (FC) definiert ein nicht routingfähiges Standardprotokoll aus dem Bereich der Speichernetzwerke, das als Variante von SCSI für die Hochgeschwindigkeitsübertragung großer Datenmengen konzipiert wurde
  • SAS (Serial Attached SCSI) ist der direkte Nachfolger der älteren parallelen SCSI-Schnittstelle


Internet Protocol

Internet Protocol (IP) - Netzwerkprotokoll auf OSI-Layer 3

Beschreibung

Internet Protocol (IP)
Anwendung HTTP IMAP SMTP DNS …
Transport TCP UDP
Internet IP (IPv4, IPv6)
Netzzugang Ethernet Token Bus Token Ring FDDI …


In Computernetzen weitverbreitetes Netzwerkprotokoll

Implementierung
Verbindungslos

Verbindungsloses Protokoll

  • Bei den Kommunikationspartnern wird kein Zustand der Verbindung etabliert

Eigenschaften und Funktionen

Hardwarunabhängig

Das Internet Protocol bildet die erste vom Übertragungsmedium unabhängige Schicht der Internetprotokolle

  • Das bedeutet, dass mittels IP-Adresse und Subnetzmaske (subnet mask) für IPv4, bzw. Präfixlänge bei IPv6, Computer innerhalb eines Netzwerkes in logische Einheiten, sogenannte Subnetze, gruppiert werden können
  • Auf dieser Basis ist es möglich, Computer in größeren Netzwerken zu adressieren und ihnen IP-Pakete zu senden, da logische Adressierung die Grundlage für Routing (Wegewahl und Weiterleitung von Netzwerkpaketen) ist

Adressvergabe

Öffentliche IP-Adressen müssen in der Regel weltweit eindeutig zugeordnet werden können, daher ist deren Vergabe durch die Internet Assigned Numbers Authority (IANA) geregelt

IPv4#Adressknappheit Bei IPv4 ist der zu vergebende Adressraum weitgehend aufgebraucht

  • Die IANA hat im Februar 2011 die letzten Adressblöcke an die RIRs vergeben

Versionen

Versionsgeschichte

Im Mai 1974 veröffentlichten Vint Cerf und Bob Kahn in einer Forschungsarbeit ein Netzwerkprotokoll zur übergreifenden Kommunikation zwischen unterschiedlichen paketvermittelten Netzen

  • In dem Modell führen Endgeräte () ein "Übertragungskontrollprogramm" ( - TCP) aus, das die Übermittlung eines kontinuierlichen Datenstroms zwischen Prozessen sicherstellt. Gateways übernehmen die Umformung von Paketen an Netzwerkgrenzen

Die erste vollständige Protokollspezifikation erschien mit RFC 675 im Dezember 1974.

  • Das monolithische Übertragungskontrollprogramm wurde später in eine Modularchitektur geteilt, die aus dem Internetprotokoll () zur Host-zu-Host-Kommunikation und dem Übertragungskontrollprotokoll ( - TCP) zur Prozess-zu-Prozess-Kommunikation bestand
  • Das Modell wurde bekannt als TCP/IP-Referenzmodell
Beide Protokolle wurden mehrfach überarbeitet, ehe sie zum praktischen Einsatz kamen

Neben der finalen Bezeichnung als "Internet Protocol" wurde in Entwürfen auch "Internetwork Protocol",verwendet

  • Bei größeren Änderungen des IP-Headers wurde eine im Header enthaltene Versionsnummer hochgezählt
  • Bei der Einführung von TCP/IP im ARPANET am 1. Januar 1983 trugen IP-Pakete daher die Versionsnummer 4
  • Vorherige Versionen waren nicht verbreitet

Im ersten Protokollentwurf war ein Adressierungsschema variabler Länge vorgesehen, bestehend aus einer mindestens 4 Bit langen Netzadresse, einer 16 Bit langen Hostadresse und einer 24 Bit langen Portnummer

  • Später wurden IP-Adressen auf 32 Bit festgelegt, bestehend aus 8 Bit Netzadresse und 24 Bit Hostadresse.
  • Die Portnummer wurde zu TCP verschoben und auf 16 Bit gekürzt
  • Mit RFC 791 wurden Netzklassen eingeführt, um mehr Flexibilität bei der Aufteilung einer IP-Adresse in Netz- und Hostteil zu haben. Subnetting war zu dem Zeitpunkt noch nicht vorgesehen. Jon Postel kümmerte sich um die Vergabe von Netzadressen - eine Rolle, die später als Internet Assigned Numbers Authority bezeichnet wurde

Mit der sich abzeichnenden Knappheit von IP-Adressen begann Anfang der 1990er Jahre die Entwicklung eines Nachfolgeprotokolls

  • Zur Unterscheidung wurde das etablierte Internetprotokoll entsprechend der Versionsnummer im IP-Header als IPv4 und das neue Internetprotokoll als IPv6 bezeichnet
  • Die wichtigste Neuerung ist der erheblich größere Adressraum: gegenüber den 32-Bit-Adressen bei IPv4 (ergibt ca. 4 Milliarden, oder 4,3·109 Adressen) verwendet IPv6 128-Bit-Adressen (ergibt ca. 340 Sextillionen, oder 3,4·1038 Adressen)
IPv5

Die Versionsnummer 5 war durch das experimentelle Internet Stream Protocol belegt, das nicht als Nachfolger, sondern als Ergänzung parallel zum Internetprotokoll gedacht war

  • Das Internet Stream Protocol wurde später aufgegeben ohne eine nennenswerte Verbreitung erlangt zu haben
  • Die Versionsnummern 7 bis 9 wurden für verschiedene Vorschläge eines IPv4-Nachfolgers verwendet, die jedoch zugunsten von IPv6 aufgegeben wurden
Verbreitung von IPv6
Die Verbreitung von IPv6 nimmt langsam zu, liegt jedoch hinter der Verbreitung von IPv4

Zuverlässigkeit

Designgrundsätze

Die Designgrundsätze der Internetprotokolle nehmen an, dass die Netzinfrastruktur an jedem einzelnen Netzelement oder Übertragungsmedium von Natur aus unzuverlässig ist

  • Auch setzen diese voraus, dass sich die Infrastruktur in Bezug auf Verfügbarkeit von Verbindungen und Knoten dynamisch verhält
  • Um jedoch die Netzinfrastruktur aufrechtzuerhalten, wird das Hauptaugenmerk der Datenübertragung vorsätzlich größtenteils auf den Endknoten jeder einzelnen Datenübermittlung gelegt
  • Router im Übertragungspfad schicken Datenpakete nur zu direkt erreichbaren und bekannten Übergängen, die die für den Bestimmungsort festgelegten Adressen vom Routenplanungspräfix vergleichen

Demzufolge stellen diese Internetprotokolle nur beste Übergänge zur Verfügung, wodurch diese Dienste als unzuverlässig charakterisiert werden

  • Das IP ist verbindungslos, jedes einzelne Datenpaket wird unabhängig behandelt
  • Da jeder einzelne Übermittlungsweg eines Datenpaketes neu definiert wird (dynamisch), ist es möglich, dass die Pakete auf verschiedenen Pfaden zu ihrem Bestimmungsort gesendet werden

Die Internetprotokoll-Version 4 (IPv4) stellt den benötigten Schutz zur Verfügung, um sicherzustellen, dass der Protokollkopf jedes Datenpaketes fehlerfrei ist

  • Ein Routenplanungsknoten berechnet eine Prüfsumme für den Paketkopf
  • Wenn die Prüfsumme ungültig ist, verwirft der Routenplanungsknoten das Paket
  • Der Routenplanungsknoten muss keinen Endknoten bekannt geben, obwohl das Internetkontrollnachrichtenprotokoll (ICMP) solche Ankündigungen erlaubt
  • Im Gegensatz dazu verfügt die Internetprotokoll-Version 6 (IPv6) über keine Prüfsumme, was zu einer schnelleren Verarbeitung während der Routenplanung führt

Alle Fehlerquellen im Übertragungsnetz müssen entdeckt und mithilfe der Übertragung auf Endknoten ersetzt werden

  • Die oberen Schicht-Protokolle der Internetprotokoll-Familie sind dafür verantwortlich, Zuverlässigkeitsprobleme aufzulösen
  • Zum Beispiel kann ein Host Daten zurückhalten und eine Richtigstellung durchführen, bevor die Daten an den jeweiligen Empfänger geliefert werden

Linkkapazität und Leistungsfähigkeit

Selbst wenn der Übermittlungspfad verfügbar und zuverlässig ist, besteht wegen der dynamischen Natur und der Heterogenität des Internets und seiner Bestandteile keine Garantie, dass auch tatsächlich jeder dieser einzelnen Pfade fähig ist, eine Datenübermittlung durchzuführen

  • Zum Beispiel stellt die erlaubte Übermittlungsgröße der jeweiligen Datenpakete eine technische Einschränkung dar
  • Jede Anwendung muss versichern, dass richtige Übertragungseigenschaften verwendet werden

Ein Teil dieser Verantwortung liegt auch in den oberen Schicht-Protokollen

  • IPv6 verwendet die Fähigkeit, die maximale Übertragungseinheitsgröße einer lokalen Verbindung, sowie den dafür komplett geplanten Pfad zum Bestimmungsort zu untersuchen
  • Die IPv4-Zwischennetzwerkanschlussschicht hat die Fähigkeit ursprünglich, große Datenpakete automatisch in kleinere Einheiten für die Übertragung zu zerlegen

Das Transmission Control Protocol (TCP) ist ein Beispiel eines Protokolls, das seine Segment-Größe reguliert, um kleiner als der maximal erlaubte Durchfluss, die Maximum Transmission Unit (MTU), zu sein


Router

Router - Aktive Netzwerk/Hardware auf OSI-Layer 3

Beschreibung

Verbindung von Netzwerken auf OSI-Layer 3
(Cisco-)Symbol für einen Router

[[Datei:Linksys BEFSR41 Router 20040321.jpg|mini|SOHO-Router: Linksys WRT54G

Hochleistungsrouter
IP-Pakete an ihre Ziele weiterleiten
  • Router stellen eine Verbindung zwischen zwei oder mehr IP-Netzwerken oder mehr IP-Netzwerken oder Subnetzwerken her
  • Arbeitet auf der 3. Schicht im OSI-Modell (Vermittlungsschicht)
Einsatz
Anpassung an Netzwerktechniken
Weiterleitungsentscheidung


Firewall

Firewall - System zum Schutz von Computern vor unerwünschten Netzwerkzugriffen

Beschreibung

https://www.instagram.com/p/C8b2LftxWK
Filtern unerwünschten Netzwerkverkehrs

Firewall ist eine Metapher, die Firewalls mit Trennwänden vergleicht, um zu verhindern, dass ein Feuer auf ein anderes Gebäude übergreifen kann

  • 1987 erstmals als Begriff für das Filtern unerwünschten Netzwerkverkehrs
  • Steven M. Bellovin von AT&T
Sicherungssystem

Angriffserkennung

Angriffserkennung ist keine Firewall-Funktion

Sie soll Regeln für die Netzwerkkommunikation umsetzen

Aufspüren von Angriffen

Intrusion-Detection-Systeme (IDS/IPS)

  • IDS-Module, die auf einer Firewall installiert sein könnten
  • Nicht Teil der Firewall

Firewall-Software

Firewall-Systeme basieren auf einer Softwarekomponente

Firewall-Software dient dazu, den Netzwerkzugriff zu beschränken, basierend auf Absender- oder Zieladresse und genutzten Diensten

  • Sie überwacht den durch die Firewall laufenden Datenverkehr und entscheidet anhand festgelegter Regeln, ob bestimmte Netzwerkpakete durchgelassen werden oder nicht
  • Auf diese Weise versucht sie, unerlaubte Netzwerkzugriffe zu unterbinden

Abhängig davon, wo die Firewall-Software installiert ist, wird unterschieden zwischen einer Personal Firewall (auch Desktop Firewall) und einer externen Firewall (auch Netzwerk- oder Hardware-Firewall genannt)

Eine Firewall ist eine Software

Eine Firewall ist eine Software, die unbefugten Zugriff auf ein Netzwerk verhindern soll

  • eine Netzwerksicherheitsvorrichtung
  • die eingehenden und ausgehenden Netzwerkverkehr überwacht
  • fungiert als Barriere zwischen geschützten & kontrollierten Bereichen und externen Netzwerken, wie dem Internet
  • entscheidet auf der Grundlage von Regeln, ob ein bestimmter Datenverkehr blockiert oder zugelassen wird
  • kann auf dedizierter Hardware oder als Softwarekomponente implementiert sein
  • bietet Schutz für einzelne Rechner, Server oder ganze IT-Umgebungen
  • kann eingesetzt werden, um das interne Netz zu strukturieren und verschiedene Sicherheitszonen zu schaffen
  • kann den Netzwerksverkehr und die Firewall-Aktivitäten protokollieren (Beweissicherung & Verbesserung der Regelsätze)
  • bietet die Möglichkeit, interne Strukturen eines Netzwerks zu verbergen (NAT)

Personal/Externen Firewall

In Abgrenzung zur Personal Firewall arbeitet die Software einer externen Firewall nicht auf dem zu schützenden System selbst, sondern auf einem separaten Gerät, welches Netzwerke oder Netzsegmente miteinander verbindet und dank der Firewall-Software gleichzeitig den Zugriff zwischen den Netzen beschränkt

  • In diesem Fall kann ‚Firewall’ auch als Bezeichnung für das komplette System stehen (ein Gerät mit der beschriebenen Funktion)

Externe Firewall

Befindet sich zwischen verschiedenen Rechnernetzen

  • Hier beschränkt sie den Netzwerkzugriff des Internets (externes Netz; WAN) auf das private (in sich geschlossene) Netz (internes Netz; LAN)
  • Sie tut dies, indem sie beispielsweise (Antwort-)Pakete durchlässt, die aus dem internen Netz heraus angefordert wurden und alle anderen Netzwerkpakete blockiert

Die Software der Personal Firewall läuft auf dem zu schützenden Computersystem und beschränkt dort den Zugriff auf Netzwerkdienste des Computers

  • Abhängig vom Produkt kann sie zudem versuchen, innerhalb ihrer Grenzen den unerlaubten Zugriff von Anwendungen auf das Netz zu unterbinden


WLAN

Wireless Local Area Network (WLAN) - Lokales Funknetz

Beschreibung

IEEE-802.11-Familie

Wireless Local Area Network (kurz Wireless LAN oder W-LAN, meist WLAN drahtloses lokales Netzwerk) bezeichnet ein lokales Funknetz, wobei meist ein Standard der IEEE-802.11-Familie gemeint ist.

  • Für diese engere Bedeutung ist auch synonym der Begriff Wi-Fi gebräuchlich, beispielsweise in den USA, Großbritannien, Kanada, Niederlande, Spanien, Frankreich, Italien.
  • Dieser Begriff wird häufig auch irreführend als Synonym für WLAN-Hotspots bzw. kabellosen Internetzugriff verwendet.
  • Streng genommen sind WLAN und Wi-Fi jedoch nicht dasselbe: WLAN bezeichnet das Funknetzwerk, Wi-Fi hingegen die Zertifizierung durch die Wi-Fi Alliance anhand des IEEE-802.11-Standards.


Im Gegensatz zum Wireless Personal Area Network (WPAN) haben WLANs größere Sendeleistungen und Reichweiten und bieten im Allgemeinen höhere Datenübertragungsraten.

  • WLANs stellen Anpassungen der Schicht 1 und 2 des OSI-Referenzmodells dar, wohingegen in WPANs beispielsweise über eine im Netzwerkprotokoll vorgesehene Emulation der seriellen Schnittstelle und PPP beziehungsweise SLIP eine Netzverbindung aufgebaut wird.
  • Bei WLAN wird heute meist das Modulationsverfahren OFDM verwendet.

Betriebsarten

WLANs können - je nach Hardwareausstattung und Bedürfnissen der Betreiber - in verschiedenen Modi betrieben werden

Infrastruktur-Modus

Infrastruktur-Modus ähnelt im Aufbau einem Mobilfunknetz

Ein Wireless Access Point, oft in Form eines Routers, übernimmt die Koordination aller Clients und sendet in einstellbaren Intervallen (üblicherweise zehnmal pro Sekunde) kleine Datenpakete, sogenannte "Beacons" (engl. "Leuchtfeuer", vgl. dt. ake"), an alle Stationen im Empfangsbereich.

Die Beacons enthalten u. a. folgende Informationen
  • Netzwerkname ("Service Set Identifier", SSID)
  • Liste unterstützter Übertragungsraten
  • Art der Kryptografie
Dieses "Leuchtfeuer" erleichtert den Verbindungsaufbau ganz erheblich
  • da die Clients lediglich den Netzwerknamen und optional einige Parameter für die Kryptografie kennen müssen
  • Gleichzeitig ermöglicht der ständige Versand der Beacon-Pakete die Überwachung der Empfangsqualität - auch dann, wenn keine Nutzdaten gesendet oder empfangen werden.
  • Beacons werden immer mit der niedrigsten Übertragungsrate (1 MBit/s) gesendet, der erfolgreiche Empfang des "Leuchtfeuers" garantiert also noch keine stabile Verbindung mit dem Netzwerk.

Der Aufbau großer WLANs mit mehreren Basisstationen und unterbrechungsfreiem Wechsel der Clients zwischen den verschiedenen Basisstationen ist im Standard vorgesehen.

In der Praxis kommt es dabei allerdings zu Problemen
  • Die Frequenzbereiche der Basisstationen überlappen sich und führen zu Störungen.
  • Da - anders als bei Mobilfunknetzen - die gesamte "Intelligenz" im Client steckt, gibt es kein echtes Handover zwischen verschiedenen Basisstationen.
  • Ein Client wird im Normalfall erst nach einer neuen Basisstation suchen, wenn der Kontakt zur vorherigen bereits abgebrochen ist.

Ad-hoc-Modus

Im Ad-hoc-Modus ist keine Station besonders ausgezeichnet, sondern alle sind gleichwertig
  • Ad-hoc-Netze lassen sich schnell und ohne großen Aufwand aufbauen, für die spontane Vernetzung weniger Endgeräte sind allerdings andere Techniken, wie Bluetooth, eher gebräuchlich.
Die Voraussetzungen für den Ad-hoc-Modus sind dieselben wie für den Infrastruktur-Modus
  • Alle Stationen benutzen denselben Netzwerknamen ("Service Set Identifier", SSID) und optional dieselben Einstellungen für die Kryptografie.
  • Da es in einem Ad-hoc-Netz keine zentrale Instanz (Access Point) gibt, muss deren koordinierende Funktion von den Endgeräten übernommen werden.
  • Eine Weiterleitung von Datenpaketen zwischen den Stationen ist nicht vorgesehen und in der Praxis auch nicht ohne Weiteres möglich, denn im Ad-hoc-Modus werden keine Informationen ausgetauscht, die den einzelnen Stationen einen Überblick über das Netzwerk geben könnten.
  • Aus diesen Gründen eignet sich der Ad-hoc-Modus nur für eine sehr geringe Anzahl von Stationen, die sich wegen der begrenzten Reichweite der Sender zudem physisch nahe beieinander befinden müssen.
  • Ist das nicht der Fall, kann es vorkommen, dass eine Station nicht mit allen anderen Stationen kommunizieren kann, da diese schlicht kein Signal mehr empfangen.

Wireless Distribution System (WDS) und Repeating

Zur Reichweitenerhöhung bestehender Funknetze beziehungsweise Verbindung kabelgebundener Netze via Funk Wireless Bridging

Frequenzen und Datenübertragungsraten

Übersicht

Für drahtlose Netzwerke sind bisher zwei lizenzfreie Frequenzblöcke aus den ISM-Bändern freigegeben worden
Standard Frequenzblock Anzahl nutzbare Kanäle Bandbreiten Anzahl überlappungsfrei nutzbare Kanäle (Kanalnummern)
[MHz] Kanäle
IEEE 802.11b 2400-2483,5 1-14 11 in den USA,
13 in Europa,
14 in Japan 		022 MHz 03 in Europa und den USA ,
04 in Japan
IEEE 802.11g 11 in den USA,
13 in Europa und Japan 		020 MHz 04 in Europa und Japan ,
03 in den USA
IEEE 802.11n 020 MHz 04 in Europa und Japan ,
03 in den USA
040 MHz (wenn keine konkurrierenden Netzwerke vorhanden sind) 02 in Europa und Japan ,
01 in den USA (3)
5150-5350
und
5470-5725 		36-64
und
100-140 		19 in Europa und Japan,
16 in den USA 		020 MHz 19 in Europa und Japan,
16 in den USA
040 MHz 09 in Europa und Japan
IEEE 802.11a
(mit 802.11h) 		020 MHz 19 in Europa und Japan (mit TPC und DFS nach 802.11h),
16 in den USA
IEEE 802.11ac
(Wi-Fi 5) 		020 MHz 19 in Europa und Japan,
16 in den USA
040 MHz 09 in Europa und Japan
080 MHz
160 MHz
IEEE 802.11ax
(Wi-Fi 6)

Datenübertragungsraten

Gemessener applikationsspezifischer UDP-Datendurchsatz mit 802.11g
Gemessener applikationsspezifischer UDP-Datendurchsatz mit 802.11n (40 MHz Bandbreite)
Oft ist der theoretisch mögliche Durchsatz auf OSI-Schicht 2 angegeben.
  • Für den Benutzer ist aber der tatsächliche Datendurchsatz auf OSI-Schicht 5 relevant.
  • Die Norm IEEE802.11 unterteilt WLAN in verschiedene Varianten (b, g, n, a), von denen jede andere theoretisch mögliche Datenraten besitzt.
  • Diese Varianten sind wieder in Modulationsarten unterteilt.
  • Für alle Varianten gilt jedoch, dass der Datendurchsatz nicht nur von Signalstärken und der daraus resultierenden Modulation abhängt, sondern auch maßgeblich von u. a. der Paketgröße abhängig ist.
In einer typischen Situation sitzt einer der Endpunkte der Verbindung im WLAN, der andere im drahtgebundenen Ethernet.
  • Daher müssen die Datenpakete das WLAN (802.11) passieren und beispielsweise in Ethernet (802.3) konvertiert werden und andersherum.
  • Durch die verschiedenen Paketlängen der Medien beeinflusst die Paketgröße der Anwendung den Durchsatz.
  • Anwendungen mit kleinen Paketen, beispielsweise VoIP, weisen einen schlechteren Datendurchsatz auf als solche mit großen Paketen, beispielsweise HTTP-Transfers.
  • Dies ist auch deutlich in den beiden Graphen und der Tabelle zu erkennen, welche mit 25 m Abstand zwischen den WLAN-Endpunkten aufgenommen wurden.
Standard Band Bandbreite UDP-Durchsatz in MBit/s
kleine Pakete
(64 Byte) 		große Pakete
(1460 Byte)
802.11b 2,4 GHz 20 MHz 0,5 5,5
802.11g 2,2 25,1
802.11a 50 GHz 2,5 28,3
802.11n 50 GHz

2,4 GHz

9,3 73,0
40 MHz 9,0 100,0

Frequenzen und Kanäle

In Deutschland ist für die Frequenzvergabe die Bundesnetzagentur (BNetzA) zuständig, in Österreich die Rundfunk und Telekom Regulierungs-GmbH (RTR), in der Schweiz das Bundesamt für Kommunikation (BAKOM).

  • Die nationalen Behörden richten sich nach übergeordneten Behörden wie dem ETSI in Europa und international nach der ITU.

Die Frequenzzuteilungen im 2,4-GHz-Band und im 5-GHz-Band sind für Deutschland der Webseite der BNetzA zu entnehmen.

Anmerkungen zu 2,4 GHz

Der Frequenzbereich im 2,4-GHz-Band wurde in 14 Kanäle aufgeteilt; in fast allen Ländern sind nur die ersten 13 verwendbar.

  • Früher waren in Spanien nur die Kanäle 10 und 11 und in Frankreich die Kanäle 10 bis 13 zulässig.

Obwohl der Kanalabstand (außer bei Kanal 14) 5 MHz beträgt, benötigt eine Funkverbindung eine Bandbreite von 20 MHz (802.11b 22 MHz). Um Störungen zu vermeiden, müssen bei räumlich überschneidenden Funkzellen überlappungsfreie Frequenzbereiche mit einem Abstand von vier Kanalnummern gewählt werden.

  • Für überlappungsfreie Funkzellen sind daher in Europa die Kanalkombinationen 1, 5, 9, 13 (in den USA 1, 6, 11) zu verwenden.

Aufgrund der geringen Frequenzbreite der FCC werden US-Karten auch als "World"-Karten bezeichnet.

  • Dies soll unterstreichen, dass sie in den meisten Ländern eingesetzt werden dürfen.

Zu berücksichtigen ist, dass die WLAN-Kanäle 9 und 10 nahe am Spitzenwert der Leckfrequenz haushaltsüblicher Mikrowellenherde (2,455 GHz) liegen und dadurch eine Störung dieser Kanäle möglich ist.

Anmerkungen zu 5 GHz

Mit Ausnahme der USA, in denen die Kanäle 36 bis 64 auch im Freien verwendet werden dürfen, ist der 802.11a-Standard weltweit nur für den Gebrauch in geschlossenen Räumen zugelassen.

  • In Europa sind jedoch durch den 802.11h-Standard erweiterte Nutzungsmöglichkeiten gegeben.

Die Kanäle 155 bis 171 sind in Deutschland von der Bundesnetzagentur für "Broadband Fixed Wireless Access" (BFWA) für gewerbliche öffentliche Netze freigegeben und meldepflichtig.

  • Sie erlauben bis zu 4 Watt Sendeleistung.

Auf Basis der SRD-Zulassung (Short Range Device) darf der Frequenzbereich 5725-5850 MHz (Kanäle 149 bis 165) mit einer äquivalenten isotropen Strahlungsleistung von 25 mW in Europa genutzt werden.

Laut der EU-Entscheidung 2005/513/EC darf der Bereich 5150-5350 MHz (Kanäle 36 bis inklusive 64) mit einer Sendeleistung von bis zu 200 mW in Europa nur in geschlossenen Räumen genutzt werden, der Bereich 5150-5250 MHz dabei auch ohne DFS und TPC.

  • Der Bereich 5470-5725 MHz kann mit einer äquivalenten isotropen Strahlungsleistung (EIRP) von bis zu 1,0 W genutzt werden, wenn die automatische Leistungsregelung (TPC/TPS) und das dynamische Frequenzwahlverfahren (DFS) verwendet werden.
  • Dadurch soll sichergestellt werden, dass Primärnutzer (z.
  • B. Regenradar) auf denselben Frequenzen nicht gestört werden.

In Amerika galten schon vorher ähnliche Regelungen.

  • Südafrika übernahm die EU-Entscheidung unverändert, auch in den meisten anderen Ländern der Erde gibt es ähnliche Beschränkungen.

Kanalbreiten, überlappungsfreie Kanäle und Spektralmasken

Spektralmasken für 802.11a/b/g/n
Überlappungsfreie Kanäle im 2,4-GHz-Band

Gemäß den Vorgaben des Normungsinstituts ETSI steht der WLAN-Anwendung im 2,4-GHz-Band eine Gesamtbandbreite von 83,5 MHz zur Verfügung (mit geringfügigen Unterschieden in den einzelnen Ländern der EU).

Standards nach IEEE 802.11

Normiert wird WLAN, wie viele andere Standards, von der IEEE, kurz für Institut der Elektrik- und Elektronik Ingenieure (engl. Engineers).


802.11

Der ursprüngliche, nicht mehr gebräuchliche WLAN-Standard 802.11 aus dem Jahr 1997 sah drei Übertragungsarten vor:

  • Erstens gab es das Frequenzsprungverfahren (FHSS), bei der das verwendete Spektrum in viele kleine Kanäle zerteilt wird.
  • Sender und Empfänger springen synchron nach vordefinierten Abfolgen von Kanal zu Kanal.
  • Das reduziert die Störungsempfindlichkeit erheblich.
  • Zweitens gab es die Übertragungsart DSSS, ein Einzelträgerverfahren, bei dem die Sendeenergie auf einen breiten Frequenzbereich verteilt wird.
  • Schmalbandige Störungen - wie etwa durch Bluetooth, ZigBee oder Modellflug - können dadurch praktisch "geschluckt" werden.
  • Das Signal in einem DSSS-Kanal erstreckt sich über 22 MHz.
  • Die störenden Ausläufer der Modulation am oberen und unteren Ende des Kanals müssen gedämpft werden.
  • Daraus ergibt sich ein Kanalabstand von ebenfalls 22 MHz, wenn sich die für das Signal genutzten Bereiche nicht überlappen sollen.
  • In den USA und Europa waren somit drei überlappungsfreie Kanäle möglich, in Japan vier. Üblicherweise verwendete man damals die Kanäle 1, 6 und 11 sowie in Japan zusätzlich Kanal 14.
  • Mit Leistungseinbußen war auch ein Betrieb mit geringerem Kanalabstand möglich.
  • Drittens gab es das Infrarot-Übertragungsverfahren.
  • Dieses verwendete diffuses Licht mit einer Wellenlänge von 850-950 nm.
  • Damit war eine Übertragung von bis zu 16 Mbit/s auf einer maximalen Entfernung von 10 Metern möglich.
  • Die Infrarot-Übertragung war nur im Ad-hoc-Modus möglich.

IEEE 802.11b

Bei der Entwicklung von 802.11b wurde als Modulation OFDM gewählt.

  • Da OFDM noch nicht für das 2,4-GHz-Band zugelassen war, als 802.11b entworfen und standardisiert wurden, musste man wieder auf DSSS mit 22 MHz Kanalbreite zurückgreifen.
  • Jedoch konnte durch eine neue Kodierungsart die Übertragungsrate auch mit DSSS erhöht werden.
  • Für überlappungsfreien Betrieb wurden die Kanäle 1, 6 und 11 benutzt Da es als es nur 11b gab, wenige WLAN-Netze in Betrieb waren, wurde auch CCK-Modulation und Kanäle mit größerem Abstand zueinander genannt.

Da heute kaum noch Geräte in Betrieb sind, die ausschließlich 802.11b beherrschen, sollte man auf diesen Standard verzichten.

  • Dadurch wird der Kompatibilitätsmodus nicht benötigt, der Datendurchsatz erhöht sich und ein vierter Kanal wird überlappungsfrei. (siehe 802.11g)

802.11g

Nachdem OFDM auch für 2,4 GHz freigegeben worden war, übertrug man das 20-MHz-Kanalschema von 802.11a (5 GHz) auf 2,4 GHz.

  • Im 2003 veröffentlichten Standard 802.11g wurde auch ein Kompatibilitätsmodus für 802.11b-Geräte eingebaut.
  • Dies hat aber den Nachteil, dass der Datendurchsatz für alle Geräte im Netz zurückgeht.

In Europa sind nun durch die geringere Kanalbreite 4 statt 3 überlappungsfreie Kanäle im 2,4-GHz-Band möglich (1, 5, 9 und 13).

In Japan wurde darauf verzichtet Kanal 14 für OFDM freizugeben, sodass mit der Abnahme der Nutzung der inzwischen veralteten Übertragungsart DSSS der Kanal 14 wieder für andere Nutzungen frei wird.

802.11n

IEEE 802.11n Mit 802.11n wurden 802.11a und g erweitert, so dass nun wahlweise ein Betrieb mit einem Kanalabstand von 40 MHz und einer Signalbreite von 33,75 MHz möglich ist.

  • Das Signal setzt sich in diesem Modus aus 108 Zwischenträgern zu wiederum 0,3125 MHz zusammen.
  • Sechs von diesen Trägern sind Pilotträger.
  • Dadurch ergibt sich eine Steigerung der maximalen Bruttoübertragungsrate (pro Stream) auf 150 Mbit/s, jedoch halbiert sich die Anzahl der überlappungsfreien Kanäle.

802.11a

IEEE 802.11a Bei der Entwicklung von 802.11a wurde als Modulation OFDM, ein Mehrträgerverfahren, gewählt.

  • Man entschied sich Kanäle von 20 MHz Breite zu verwenden.
  • Ein Kanal besteht aus 52 Zwischenträgern (engl. sub-carrier) zu je 0,3125 MHz, also insgesamt 16,25 MHz, die tatsächlich für das Signal verwendet werden.
  • Vier von diesen Zwischenträgern sind Pilotträger, übermitteln also keine Daten.
  • Zur Robustheit des Signals tragen die Verfahren Subcarrier-Interleaving, Scrambling und Faltungscode bei.
  • Subcarrier-Interleaving ist ein Frequenzsprungverfahren auf Ebene der Unterträger.

802.11h

Hierbei handelt es sich um eine Erweiterung zum Standard 802.11a. Sie fügt Transmission Power Control (TPC) und Dynamic Frequency Selection (DFS) hinzu. Damit wird gesichert, dass Radaranlagen, Satelliten- und Ortungsdienste nicht gestört werden. Sie muss in Europa beim Betrieb mit großen Sendeleistungen sowie außerhalb von Gebäuden zwingend eingesetzt werden.

802.11ac

IEEE 802.11ac Im Dezember 2013 ist der neue Standard 802.11ac verabschiedet worden, der gegenüber 802.11n eine schnellere Datenübertragung mit einer Bruttodatenrate von 1,3 Gbit/s ermöglicht.

  • Netto schaffen gute Geräte aber immerhin das Dreifache der 3-Stream-MIMO-Geräte.
  • Die Datenübertragung geschieht ausschließlich im 5-GHz-Band und fordert eine größere Kanalbreite von 80 MHz, optional eine Kanalbreite von 160 MHz.

802.11ad

IEEE 802.11ad Seit 2014 können mit dem Standard IEEE 802.11ad im 60-GHz-Bereich bis zu 7 Gbit/s auf Strecken einiger Meter ohne Hindernisse in der Verbindungslinie erreicht werden.

  • Die hohen Datenraten im 60-GHz-Bereich sind durch die im Vergleich zum 5-GHz-Bereich sehr breiten Kanäle möglich.
  • Geräte, die für den 60-GHz-Bereich geeignet sind, sollen für größere Entfernungen bei reduzierter Datenrate in den 5-GHz- oder 2,4-GHz-Bereich wechseln können.


Vor- und Nachteile

Im Vergleich zu Infarot Bluetooth
Vorteile
  • große Reichweite
  • Hohe Übertragungsgeschwindigkeit
  • Keine Sichtverbindung erforderlich
Nachteile
  • hoher Preis
  • hoher Leistungsverbrauch

Sicherheit

ESSID (Extended-Service-Set-Identifier)
  • Name eines drahtlosen Netzes
  • Broadcast der ESSID deaktivieren
  • MAC-Adresse (Media Access Control)
  • Eindeutige und einmalige Identifikationsnummer
  • Wird vom jeweiligen Hersteller vergeben
  • ACL (Access Control List) einpflegen
  • DHCP (Dynamic-Host-Configuration-Protocol)
    • Weist Clients entsprechend dem Netzwerk eine gültige IP, Subnetmask,Gateway und DNS-Server zu

Authentisierungsverfahren

Option Beschreibung
Open System es wird jeder Client zugelassen
Shared System Authentisierung durch WEP (Wired Equivalent Privacy)
WEP (Wired Equivalent Privacy Verfahren zur Datenverschlüsselung und Authentifizierung
  • Beruht auf RC4 Algorithmus, dessen Schwächen seit 1994 bekannt sind
  • nicht besonders sicher
  • Schlüssellänge sollte mindestens 128Bit betragen
  • in regelmäßigen Abständen Schlüssel ändern
WPA (Wi-Fi Protected Access) Standard für Kryptografie und Authentifizierung
  • entwickelt um grundlegende Schwächen von WEP zu beheben
  • Nachfolger von WEP
  • Parallel zu WEP einsetzbar
VPN (Virtual Private Network) Sichere Datenübertragung durch einen verschlüsselten IP-Tunnel

Drahtlose Netze

Schon seit sehr langer Zeit werden über drahtlose Technologien wie Funk, Mikrowellen, Satellit oder Infrarot nicht nur Sprache, Radio- und Fernsehsignale, sondern auch Daten übertragen.
  • Die digitale (!) Datenübertragung per Funk war sogar die erste Anwendung der drahtlosen Nachrichtentechnik überhaupt: Der Funkpionier Guglielmo Marconi erfand die drahtlose Telegrafie mithilfe des binären Morse-Alphabets[Anm.: Ganz und gar binär ist das Morsealphabet übrigens nicht: Neben Lang und Kurz muss die Pause zwischen zwei Zeichen als drittes mögliches Signal betrachtet werden, da die einzelnen Zeichen (übrigens gemäß ihrer Häufigkeit in englischen Texten) aus unterschiedlich vielen Einzelsignalen bestehen.] lange vor dem Sprechfunk.
Im Bereich der Netzwerke gibt es immer mehr Anwendungsfälle, bei denen sich der Einsatz drahtloser Techniken anbietet.
  • Die folgenden Beispiele können als Anhaltspunkte dienen: * In Privathaushalten wird WLAN inzwischen häufiger eingesetzt als kabelbasierte Netze.
  • Da viele Menschen Laptops und/oder WLAN-fähige Mobiltelefone haben, ist dies auch viel praktischer.
  • Für den Internetzugang kommen entsprechend oft WLAN-DSL-Router zum Einsatz, die eine Verbindung zwischen dem Internet und den Endgeräten vermitteln.
  • In einem Unternehmen werden viele Außendienstmitarbeiter beschäftigt.
  • Sie sind mit Notebooks ausgestattet und kommen nur gelegentlich in die Firmenzentrale.
  • Eine Firma zieht in ein denkmalgeschütztes Haus ein, an dessen Bausubstanz nichts geändert werden darf - an das Verlegen von Kabelkanälen oder gar das Aufstemmen von Wänden für die Vernetzung ist nicht zu denken.
  • Zwischen zwei Gebäuden eines Unternehmens verläuft eine öffentliche Straße; für die Überbrückung durch ein Kabel müsste ein langfristiges Genehmigungsverfahren mit ungewissem Ausgang eingeleitet werden.
  • Auf LAN-Partys (Treffen von Netzwerkspielern), Messen, Kongressen oder ähnlichen Veranstaltungen müssen Unmengen von Computern für kurze Zeit vernetzt werden.
Für den Betrieb drahtloser Netzwerke kommen die verschiedensten Übertragungsmethoden zum Einsatz.
  • Sie lassen sich nach folgenden Kriterien unterscheiden oder für den praktischen Einsatz auswählen: * Welche maximale Entfernung zwischen zwei Stationen muss überbrückt werden?
  • Besteht zwischen den einzelnen Standorten Sichtkontakt, oder befinden sich Wände oder andere Hindernisse zwischen ihnen?
  • Soll eine freie Funkfrequenz genutzt werden, oder kann es auch eine lizenzpflichtige sein (Letzteres kann teuer werden)?
  • Sind die vernetzten Geräte selbst stationär oder mobil?
Diese diversen Auswahlkriterien zeigen bereits, dass es so etwas wie das drahtlose Netz nicht gibt.
  • Für jeden Anwendungszweck bieten sich verschiedene Lösungen an, die sorgfältig geprüft werden müssen.
Genau wie bei der verkabelten Konkurrenz lassen sich auch hier verschiedene Kategorien von Reichweiten unterscheiden.
  • Das WLAN (Wireless LAN, auch WiFi genannt) nach IEEE 802.11 ist ein drahtloses Netz für den Nahbereich, also für die Vernetzung innerhalb einer einzelnen Institution.
  • Das WWAN (Wireless Wide Area Network) dagegen ist ein drahtloses Fernnetzwerk.
  • Dazu zählen unter anderem Satellitenverbindungen.
In diesem Abschnitt wird nur das 802.11-kompatible WLAN beschrieben, da es sich seit seiner Einführung 1997 sehr schnell verbreitet hat und heute von allen Wireless-Technologien am häufigsten eingesetzt wird. 802.11 besteht aus mehreren Unterstandards, die sich in den Punkten Frequenzspektrum, Übertragungsrate und Funktechnologie unterscheiden.
  • Sie alle werden jedoch über Funk betrieben; eine ursprünglich ebenfalls spezifizierte Infrarotvariante hat sich nicht durchgesetzt.
  • Infrarot wird größtenteils für den drahtlosen Anschluss von Peripheriegeräten wie Mäusen oder Tastaturen verwendet.

Varianten von IEEE 802.11

Standard Frequenzbereich Übertragungsrate Funktechnik
802.11 2,4 GHz 1 oder 2 MBit/s FHSS/DSSS
802.11a 5 GHz bis zu 54 MBit/s OFDM
802.11b 2,4 GHz 5,5/11/22 MBit/s HR/DSSS
802.11g 2,4 GHz bis zu 54 MBit/s OFDM
802.11n6 2,4 und 5 GHz bis zu 600 MBit/s MIMO
Die Trägerfrequenz von 2,4 GHz wird vor allem deshalb am häufigsten verwendet, weil sie nicht lizenzpflichtig ist.
  • Es handelt sich nämlich um diejenige Frequenz, mit der Mikrowellenherde arbeiten, da diese Wellenlänge Wassermoleküle am effektivsten erhitzt.
Die diversen Funkverfahren arbeiten alle mit verschiedenen Varianten der Frequency-Hopping-Methode, die auch im Mobilfunk eingesetzt wird
  • Nach einem bestimmten Schema werden die Funkwellen über mehrere Frequenzen übertragen, die mehrmals in der Sekunde wechseln.
  • Dies ist erheblich weniger störanfällig als die Verwendung einer einzelnen Frequenz.
  • Die grundlegende Technik wurde Mitte der 30er-Jahre von der österreichischen Schauspielerin Hedy Lamarr erfunden.
  • Ihr damaliger Ehemann war Rüstungsfabrikant, und diese Funktechnik sollte helfen, Torpedos der Alliierten fernzusteuern, ohne dass die Signale abgefangen und verfälscht werden konnten.
Im Einzelnen werden folgende Verfahren unterschieden
  • FHSS (Frequency Hopping Spread Spectrum): Die Frequenzen wechseln nach einem zufälligen Muster.
  • DSSS (Direct Sequence Spread Spectrum): Es werden erheblich mehr Einzelfrequenzen verwendet; die Verteilung erfolgt nach einem komplexen mathematischen Verfahren.
  • HR/DSSS (High Rate Direct Sequence Spread Spectrum): Entspricht DSSS mit speziellen Erweiterungen, die eine höhere Übertragungsrate ermöglichen.
  • OFDM (Orthogonal Frequency Division Multiplexing): Jeder Kanal wird in mehrere Teilkanäle unterteilt, die Signale werden über alle Teilkanäle parallel übertragen.
  • Aus diesem Grund ist OFDM das Übertragungsverfahren mit der höchsten Datenrate, andererseits aber auch das aufwendigste, sodass die entsprechende Hardware noch vor wenigen Jahren vergleichsweise teuer war.
  • MIMO (Multiple Input/Multiple Output): Im Wesentlichen eine nochmals verbesserte OFDM-Variante, die wiederum erheblich höhere Übertragungsraten ermöglicht.
  • Die Datenübertragung kann gleichzeitig über mehrere Frequenzbänder erfolgen.
Der größte Teil der Wireless-LAN-Hardware, der momentan verkauft wird, basiert auf den Standards 802.11b und 802.11g (die meisten Geräte unterstützen wahlweise beide).
  • Die Preise für Hardware dieser Variante sind in den letzten Jahren stark gefallen.
  • Ein WLAN-Adapter ist inzwischen ab etwa 20 € erhältlich, sowohl als PCI-Karte als auch als PCMCIA- oder USB-Adapter.
  • Außerdem sind Notebooks (und meist auch Desktop-PCs) ab Werk standardmäßig mit einer WLAN-Schnittstelle ausgestattet.
  • Vorreiter dürften das PowerBook und das iBook von Apple gewesen sein; Apple fördert diese Technologie unter dem Namen AirPort seit vielen Jahren.

CSMA/CA

Als Netzzugangsverfahren in 802.11-Netzen kommt CSMA/CA zum Einsatz (Carrier Sense Multiple Access with Collision Avoidance) - wie der Name vermuten lässt, werden Datenkollisionen von vornherein vermieden.
  • Anders als bei CSMA/CD sendet eine Station, die ein freies Übertragungsmedium (in diesem Fall den entsprechenden Funkkanal) vorfindet, nicht einfach ihre Daten, sondern eine Sendeanforderung (RTS).
  • Daraufhin warten andere sendebereite Stationen; und die erste Station, die das RTS gesendet hat, sendet ihre Daten, nachdem ihr die Empfängerstation ihre Empfangsbereitschaft (CTS) signalisiert hat.
  • Abgeschlossen wird die Datenübertragung durch ein ACK-Signal, daraufhin kann die nächste Station ihren Sendewunsch bekanntgeben.
Das einfachste denkbare 802.11-WLAN besteht nur aus mehreren Rechnern mit entsprechender Schnittstelle, die auf direktem Weg miteinander kommunizieren.
  • Ein solcher Aufbau wird als Basic Service Set (BSS) bezeichnet.
  • Die Entfernung zwischen zwei beliebigen Stationen darf die maximale Reichweite des Funksignals nicht überschreiten, da jede Station die Signale nur senden und empfangen, aber nicht verstärken und weiterleiten kann.
  • Da ein solches Netzwerk nicht mit anderen Netzen kommunizieren kann, wird es als unabhängiges BSS (Independent BSS oder kurz IBSS) bezeichnet.
  • Derartige Netzwerke sind sinnvoll für die sogenannte Ad-hoc-Vernetzung temporärer Zusammenkünfte wie Messen oder LAN-Partys.
Ein wenig komplexer wird der Aufbau eines BSS, wenn ein Access Point hinzugefügt wird.
  • Im Grunde funktioniert ein Access Point wie ein Ethernet-Hub, denn sobald er vorhanden ist, kommunizieren die Stationen nicht mehr direkt miteinander, sondern senden die Frames an den Access Point, der sie an den gewünschten Empfänger weitergibt.
  • Die Identifikation der einzelnen Stationen erfolgt wie bei Ethernet anhand einer 48 Bit langen MAC-Adresse.
  • Ein BSS mit einem Access Point wird als Infrastruktur-BSS bezeichnet.
  • Für die Reichweite des Netzes ist nur noch die Entfernung zwischen einer Station und dem Access Point ausschlaggebend.
Die wichtigste Aufgabe eines Access Points besteht in seiner Funktion als Bridge.
  • Er verbindet das WLAN mit einem Backbone-Netzwerk - meistens Twisted-Pair-Ethernet.
  • Auf diese Weise kann das WLAN mit stationären Teilen des Netzes verbunden werden oder Zugang zu Servern und Routern erhalten, ohne dass diese selbst mit WLAN-Schnittstellen ausgestattet werden müssten.
Im Übrigen bildet ein Verbund aus miteinander vernetzten Access Points (entweder ebenfalls über Funk oder über Ethernet) ein sogenanntes Extended Service Set (ESS).
  • Eine Station kann sich innerhalb eines ESS frei bewegen, weil die Access Points einander darüber auf dem Laufenden halten, welche Stationen sich gerade in ihrem Bereich befinden.
  • Eine Station kann immer nur genau mit einem Access Point verbunden sein; sobald das Signal eines anderen Access Points stärker wird als das des bisherigen, meldet die Station sich bei ihrem alten Access Point ab und bei dem neuen an.
  • Auf diese Weise werden Frames immer über den jeweils aktuellen Access Point an eine Station gesendet.
Ein zusätzlicher Nutzen von Access Points besteht darin, dass sie in der Lage sind, Frames zu puffern, die an bestimmte Stationen adressiert sind.
  • Gerade Notebooks schalten im Standby-Modus oft auch die WLAN-Schnittstelle ab, um Strom zu sparen; sobald die Verbindung wieder aufgebaut wird, werden die zwischengespeicherten Frames ausgeliefert.
Das ESS-Modell wird immer häufiger für öffentlich verfügbare Netzwerkzugänge eingesetzt.
  • In Bahnhöfen, Flughäfen oder Gaststätten stehen öffentlich zunehmend WLAN-Access-Points (auch Hotspots genannt) zur Verfügung, in die sich Notebook-Benutzer ohne Weiteres einwählen können.
  • Mittlerweile werden sogar die ersten Innenstädte fast flächendeckend mit einander überlappenden Access Points ausgestattet.
  • Irgendwann könnte ein ähnlich dichtes Netz entstehen, wie es die Mobilfunkzellen inzwischen bilden.
Eine der größten Herausforderungen beim Einsatz von Wireless-Technologien bleibt die Sicherheit.
  • Es ist zwar auch nicht weiter schwierig, das Signal von Ethernet-Kabeln abzuhören, aber immerhin ist es vergleichsweise einfach, den physikalischen Zugang zu ihnen zu kontrollieren.
  • Bei WLAN kann dagegen im Grunde genommen jeder die Signale mit einer kompatiblen Antenne auffangen und analysieren, um unberechtigt Informationen zu erhalten oder gar zu manipulieren.
  • Das gilt umso mehr, als man die Grenzen der Funkreichweite niemals ganz genau auf die Größe des zu vernetzenden Gebäudes oder Geländes abstimmen kann; es ist also durchaus möglich, die Funkwellen außen zu empfangen.
Um ein Mindestmaß an Sicherheit zu gewährleisten, bot die ursprüngliche 802.11-Spezifikation eine optionale Kryptografie der Frames an.
  • Allerdings ist diese Methode nicht besonders sicher; Sicherheitsexperten haben bereits bewiesen, dass die Kryptografie verhältnismäßig leicht zu knacken ist.
  • Schon der Name dieser Technik, WEP (Wired Equivalent Privacy), sagt allzu deutlich aus, dass es nicht um mehr geht, als etwa dasselbe Maß an Sicherheit zu gewährleisten wie beim rein physikalischen Schutz verkabelter Netzwerke.
  • Der Hauptverwendungszweck besteht auch gar nicht in der Geheimhaltung, sondern in der Abgrenzung eines Wireless-Netzes von benachbarten Netzen: Es ist ärgerlich, wenn jedes vorbeifahrende Fahrzeug, in dem sich zufälligerweise ein Laptop mit 802.11-Schnittstelle befindet, diesen vorübergehend automatisch ins Netz einbucht und wieder daraus verschwindet.
  • Dies lässt sich allerdings zuverlässiger verhindern, indem der Access Point mit einer Whitelist zugelassener MAC-Adressen konfiguriert wird.
Inzwischen stehen mit WPA und WPA2 (WiFi Protected Access) stark verbesserte WLAN-Kryptografieverfahren zur Verfügung.


VLAN

Virtual Local Area Network (VLAN) - unterteilt ein physikalisches Netzwerk in mehrere logische Netzwerke

Beschreibung

Logisches Teilnetz

Netzsegment

Kann sich über mehrere Switches ausdehnen

Ein VLAN trennt physische Netze in Teilnetze auf, indem es dafür sorgt, dass VLAN-fähige Switches Frames (Datenpakete) nicht in ein anderes VLAN weiterleiten (obwohl die Teilnetze an gemeinsamen Switches angeschlossen sein können)

  • Sind in eigene Subnetze eingeteilt
  • So bildet jedes VLAN eine eigene Broadcast-Domain
  • Kommunikation zwischen VLANs ist nur über einen Router möglich, der die VLANs verbindet
  • Konfigurierbare Switches mit VLAN-Unterstützung

Motivation

Lokale Netze werden mit aktiven Komponenten aufgebaut (OSI-Ebene 2)

In der Regel sind diese Komponenten Switches

  • Durch die heute gängigen Switch-Implementierungen
  • welche die Anschlüsse üblicherweise im Vollduplex-Modus betreiben
  • kollisionsfrei arbeiten
  • können auch sehr große, aber dennoch performante LANs mit einigen hundert oder tausend Stationen aufgebaut werden

Gründe für die Unterteilung

Flexibilität
  • bei der Zuordnung von Endgeräten zu Netzsegmenten, unabhängig vom Standort der Basisstation
Performance-Aspekte
  • So kann etwa ein bestimmter Datenverkehr wie VoIP in einem VLAN erfolgen, das bei der Übertragung priorisiert wird
  • Häufig möchte man jedoch einfach nur Broadcast-Domänen verkleinern, damit sich Broadcasts nicht über das gesamte Netz ausbreiten
Sicherheitsaspekte

VLANs können Netze gegen Ausspionieren und Abhören besser absichern als Switch-basierte Netze

  • Switch-basierten Netzen wurde früher ein Sicherheitsvorteil zugesprochen; dieser ist heute de facto nicht mehr gegeben, da für sie eine Vielzahl von Angriffsmöglichkeiten existieren wie zum Beispiel MAC-Flooding oder MAC-Spoofing
  • VLANs hingegen sind robuster, da zur Verbindung der VLANs Router zum Einsatz kommen, die gegen Layer-2-Attacken systembedingt unempfindlich sind
  • Zusätzlich bietet Routing die Möglichkeit, Firewalls auf Layer-3-Basis einzusetzen, wodurch sich eine größere Auswahl an Firewallsystemen erschließt (denn Layer-2-basierte Firewalls sind vergleichsweise selten)
  • Vorsicht ist aber besonders bei dynamischen VLANs bzw. bei Systemen geboten, die im automatischen Lernmodus (siehe Switch-Typen) arbeiten
  • Diese lassen sich analog zu Switches ebenfalls kompromittieren und können so den vorgesehenen Sicherheitsgewinn von VLAN-Implementierungen unwirksam machen
Die beiden letztgenannten Aspekte könnten auch durch eine entsprechende Verkabelung und den Einsatz mehrerer Switches und Router erreicht werden
  • Durch den Einsatz von VLANs lässt sich dies jedoch unabhängig von der meist vorhandenen und nur mit großem Aufwand erweiterbaren physischen Verkabelung verwirklichen, was neben einer erhöhten Flexibilität auch wirtschaftlich sinnvoll sein kann: VLAN-fähige Geräte sind zwar durchaus teurer, ersetzen unter Umständen aber mehrere Einzelgeräte
  • Einrichtung in logischen Gruppen innerhalb des physikalischen Netzes möglich
  • Höhere Flexibilität durch einfache Änderung von Gruppenzugehörigkeit
  • Einfachere Konfiguration der Software für die Gruppen
  • Erhöhte Sicherheit durch Gruppierung(Subnetz-Bildung)
  • Kleinere Broadcastdomänen
  • Priorisierung des Datenverkehrs möglich
  • Bessere Lastverteilung möglich

VLAN-Typen

Ältere VLAN-fähige Switches beherrschen nur portbasierte VLANs, die statisch konfiguriert werden mussten

  • Erst später entwickelten sich dynamische VLANs und proprietäre tagged VLANs
  • Schließlich entstanden aus den proprietären tagged VLANs die heute dominierenden standardisierten tagged VLANs nach IEEE 802.1Q

Statische VLANs

Hier wird einem Port eines Switches fest eine VLAN-Konfiguration zugeordnet

  • Er gehört dann zu einem Port-basierten VLAN, zu einem untagged VLAN oder er ist ein Port, der zu mehreren VLANs gehört
  • Die Konfiguration eines Ports ist bei statischen VLANs fest durch den Administrator vorgegeben
  • Sie hängt nicht vom Inhalt der Pakete ab und steht im Gegensatz zu den dynamischen VLANs unveränderlich fest
  • Damit ist eine Kommunikation des Endgerätes an einem Port nur noch mit den zugeordneten VLANs möglich
  • Gehört ein Port zu mehreren VLANs, ist er ein VLAN-Trunk und dient dann meist zur Ausdehnung der VLANs über mehrere Switches hinweg

Durch die Möglichkeit, einen Port mehreren VLANs zuzuordnen, können zum Beispiel auch Router und Server über einen einzelnen Anschluss an mehrere VLANs angebunden werden, ohne dass für jedes Teilnetz eine physische Netzschnittstelle vorhanden sein muss

  • Somit kann ein einzelnes Gerät - auch ohne Router - seine Dienste in mehreren VLANs anbieten, ohne dass die Stationen der verschiedenen VLANs miteinander kommunizieren können

Diese VLAN-Trunks dürfen nicht mit den Trunks im Sinne von Link Aggregation verwechselt werden, bei denen mehrere physische Übertragungswege zur Durchsatzsteigerung gebündelt werden

Portbasierte VLANs

Urform der VLANs
  • Hier wird mit managebaren Switches ein physisches Netz portweise in mehrere logische Netze segmentiert, indem ein Port einem VLAN fix zugeordnet wird
  • Im Frame vorhandene Tags werden vom Switch entfernt
  • Man spricht hier daher von einem untagged Port
  • Portbasierte VLANs lassen sich auch über mehrere Switches hinweg ausdehnen
  • Dazu wird heutzutage ein Trunk-Port (ein als tagged konfigurierter Port) verwendet
  • Um die so segmentierten Netze bei Bedarf zu verbinden, kommt beispielsweise ein Router zum Einsatz
  • Ferner gehören sie zu den statischen VLAN-Konfigurationen und bilden sozusagen einen Gegenpol zu den dynamischen VLANs
  • Ein Port kann sowohl als tagged als auch als untagged konfiguriert sein
  • Das ist beispielsweise dann der Fall, wenn über einen Port mehrere Geräte (beispielsweise VoIP-Telefon und Desktop-PC) verbunden werden
  • Einen physischen Switch in mehrere logische Switches unterteilen
  • Einzelne Ports werden einem VLAN zugeordnet
  • Jedes Endgerät an einem Port, gehört zu einem VLAN
Switch A
Switch-Port VLAN ID angeschlossenes Gerät
1 1 PCA1
2 1 PCA2
3 - -
4 1 Verbindung zu Switch-B Port 4
5 2 PCA5
6 2 PCA6
7 - -
8 2 Verbindung zu Switch-B Port 8
  • Mithilfe mehrerer Switches kann man mehr Rechner in einem VLAN einbinden
  • Allerdings benötigt man für jedes VLAN eine eigene Verbindung
Switch B
Switch-Port VLAN ID angeschlossenes Gerät
1 1 PCB1
2 1 PCB2
3 - -
4 1 Verbindung zu Switch-A Port 4
5 2 PCB5
6 2 PCB6
7 - -
8 2 Verbindung zu Switch-B Port 8

Dynamische VLANs

Bei der dynamischen Implementierung eines VLANs wird die Zugehörigkeit eines Frames zu einem VLAN anhand bestimmter Inhalte des Frames getroffen
  • Da sich alle Inhalte von Frames praktisch beliebig manipulieren lassen, sollte in sicherheitsrelevanten Einsatzbereichen auf den Einsatz von dynamischen VLANs verzichtet werden. Dynamische VLANs stehen im Gegensatz zu den statischen VLANs
  • Die Zugehörigkeit kann beispielsweise auf der Basis der MAC- oder IP-Adressen geschehen, auf Basis der Protokoll-Typen (beispielsweise 0x809B Apple EtherTalk, 0x8137: Novell IPX, 0x0800: IPv4 oder 0x88AD: XiMeta LPX) oder auch auf Anwendungsebene nach den TCP-/UDP-Portnummern (Portnummer 53: DNS, 80: HTTP, 3128: Squid Proxy)
  • In der Wirkung entspricht dies einer automatisierten Zuordnung eines Switchports zu einem VLAN
Die Zugehörigkeit kann sich auch aus dem Paket-Typ ableiten und so zum Beispiel ein IPX/SPX-Netz von einem TCP/IP-Netz trennen
  • Diese Technik ist heutzutage nicht mehr weit verbreitet, da TCP/IP in vielen Netzen alle anderen Protokolle abgelöst hat
Durch Dynamische VLANs kann zum Beispiel auch erreicht werden, dass ein mobiles Endgerät immer einem bestimmten VLAN angehört - unabhängig von der Netzdose, an die es angeschlossen wird
  • Eine andere Möglichkeit besteht darin, einen bestimmten Teil des Datenverkehrs wie zum Beispiel VoIP aus Performance- oder Sicherheitsgründen (veraltet) in ein spezielles VLAN zu leiten

Tagged-basiert

Zuordnung der Endgeräte erfolgt nach bestimmten Kriterien bspw. nach MAC-Adresse
  • Mehrere VLANs können über einen einzelnen Switch-Port genutzt werden
Ethernet-Frame
Ethernet-Frame mit VLAN-Tag
  • Eine Markierung (Tag) im Frame des Pakets sorgt für die Zuweisung
  • Das Tag wird nach der MAC-Addresse des Absenders gesetzt und ist exakt vier Byte lang
  • Frames müssen getagged werden, damit der empfangene Switch bzw. der Router sie dem entsprechenden VLAN zuordnen kann
Genaue Darstellung des VLAN-Tags
  • Erste Zwei Bytes sind für den TPI (Tag Protocol Identifier), zeigt an, ob überhaupt eine VLAN-ID angegeben wurde
  • Nach TPI folgen drei Bit für die Priorität der Nachricht, dann folgt ein Bit für den CFI (Canonical Format Identifier), welches die Kompatibilät zwischen Ethernet und Token Ring gewährleistet
  • Die letzten zwölf Bit sind für die eigentliche VLAN-ID bestimmt. Dadurch sind prinzipiell 4096 VLANs möglich
Heute fast ausschließlich verwendete Ethernet-Datenblockformat Ethernet-II nach IEEE 802.3 mit 802.1Q VLAN-Tag
Die paketbasierten tagged VLANs stehen im Gegensatz zu den älteren markierungslosen, portbasierten VLANs
  • Der Ausdruck tagged leitet sich vom englischen Ausdruck material tags ab (Anhänger, mit denen Waren markiert werden)
  • Es handelt sich also bei tagged VLANs um Netze, die Netzpakete verwenden, welche eine zusätzliche VLAN-Markierung tragen
Ein Tagging in VLANs kommt auch dann zum Einsatz, wenn sich VLANs beispielsweise über mehrere Switches hinweg erstrecken, etwa über Trunkports
  • Hier tragen die Frames eine Markierung, welche die Zugehörigkeit zum jeweiligen VLAN anzeigt
Durch die Tags werden VLAN-spezifische Informationen zum Frame hinzugefügt
  • Zu dieser Gattung gehören die VLANs nach IEEE 802.1Q, Shortest Path Bridging, Ciscos Inter-Switch Link Protocol (ISL) oder auch 3Coms VLT (Virtual LAN Trunk) Tagging
  • Damit die VLAN-Technik nach 802.1q auch für ältere Rechner und Systeme in einem Netz transparent bleibt, müssen Switches diese Tags bei Bedarf hinzufügen und auch wieder entfernen können
VLAN-Tag

Bei portbasierten VLANs (d. h. bei Paketen, die kein Tag besitzen) wird zum Weiterleiten eines Datenpakets über einen Trunk hinweg üblicherweise vor dem Einspeisen in den Trunk ein VLAN-Tag hinzugefügt, welches kennzeichnet, zu welchem VLAN das Paket gehört

  • Der Switch auf Empfängerseite muss dieses wieder entfernen
  • Bei tagged VLANs nach IEEE 802.1Q hingegen werden die Pakete entweder vom Endgerät (beispielsweise Tagging-fähigem Server) oder vom Switch am Einspeiseport mit dem Tag versehen
  • Daher kann ein Switch ein Paket ohne jegliche Änderung in einen Trunk einspeisen
  • Empfängt ein Switch auf einem VLT-Port (Trunkport) einen Frame mit VLAN-Tag nach IEEE 802.1Q, kann auch dieser es unverändert weiterleiten
  • Lediglich der Switch am Empfangsport muss unterscheiden, ob er ein Tagging-fähiges Endgerät beliefert (dann kann der Frame unverändert bleiben) oder ob es sich um ein nicht Tagging-fähiges Endgerät handelt, welches zu dem aktuellen VLAN gehört (dann ist das Tag zu entfernen)
  • Hierzu muss die zugehörige VLAN-ID im Switch hinterlegt sein
  • Da nach IEEE 802.1Q alle Pakete mit VLAN-Tags markiert sind, müssen einem Trunk entweder alle VLAN-IDs, die er weiterleiten soll, hinterlegt werden, oder er ist zur Weiterleitung aller VLANs konfiguriert
  • Werden Pakete ohne Tag auf einem Trunk-Port empfangen, können diese je nach Konfiguration entweder einem Default-VLAN zugeordnet werden (der Switch bringt das Tag nachträglich an), oder sie werden verworfen
Empfängt ein Switch auf einem seiner Ports beispielsweise von einem älteren Endgerät Pakete ohne VLAN-Tags (auch native Frames genannt), so muss er selbst für das Anbringen des Tags sorgen
  • Hierzu wird dem betreffenden Port entweder per Default oder per Management eine VLAN-ID zugeordnet
  • Der Switch, der das Paket ausliefert, muss analog verfahren, wenn das Zielsystem nicht mit Tags umgehen kann (das Tag muss entfernt werden)
Automatische Lernen

Das automatische Lernen der zu den VLTs (Trunkports) gehörenden Einstellungen ist heute Standard bei den meisten VLAN-fähigen Switches

  • Dabei muss ein Switch mit einem Mischbetrieb sowohl von Paketen, die keine Tags kennen und enthalten, als auch von Paketen, die bereits Tags besitzen, umgehen können
  • Das Erlernen der VLTs erfolgt analog zum Erlernen der MAC-Adressen: Empfängt der Switch ein Paket mit VLAN-ID, so ordnet er den Port zunächst diesem VLAN zu
  • Empfängt er an einem Port innerhalb kurzer Zeit Pakete mit unterschiedlichen VLAN-IDs, so wird dieser Port als VLT identifiziert und als Trunk genutzt
  • Einfache Switches (ohne Verwaltungsmöglichkeit) bilden üblicherweise ein zusätzliches natives VLAN für alle Pakete, die keine Tags enthalten
  • Solche Pakete werden meist belassen, wie sie sind
  • Ein Trunkport wird hier wie ein normaler (Uplink-)Port behandelt
  • Alternativ kann auch ein Default-Tag angefügt werden
Trunk

Der Begriff Trunk wird im Unterschied zu VLT häufig auch mit einer ganz anderen Bedeutung verwendet, siehe auch Bündelung (Datenübertragung)

Sicherheit

Generell sollte man Sicherheit aber nicht mehr zu den Tagged-VLAN-Features zählen

  • Switches lassen sich auf zahlreichen Wegen kompromittieren, müssen folglich immer als unsicher eingestuft werden
  • Man kann aber auch direkt bei der Verkabelung ansetzen
  • Es gibt etwa Messklemmen als Zubehör zu Profi-Netzanalysegeräten, die äußerlich direkt an ein Kabel angeschlossen werden und das geringe elektromagnetische Feld messen
  • So kann völlig unbemerkt der gesamte über dieses Kabel laufende Datenverkehr mitgelesen und aufgezeichnet werden
  • Dagegen hilft nur eine starke Kryptografie (beispielsweise mit IPsec), die manche LAN-Karten direkt in Hardware implementieren

Vor- und Nachteile

  • Statisch
    • Einfach zu erstellen und zu verwalten
    • Sinnvoll für fest eingeplante VLAN-Segmente
    • Unflexibel für veränderbare Netze
  • Dynamisch
    • Flexibel und besser anpassbar an neue Gegebenheiten
    • Ortsunabhängigkeit ist dadurch gegeben
    • Administratoren können Änderungen im Netzwerk durchführen, ohne Ports umstecken oder den Switch zu konfigurieren
    • Switches, Router und Netzwerkarten müssen das VLAN-Tag verarbeiten können

Zuordnung des Datenverkehrs

Die Zuordnung der Teilnetze zu einem VLAN kann statisch über Port-Zuordnung an den Switches erfolgen, über spezielle Markierungen an den Paketen (Tags) realisiert sein oder dynamisch erfolgen (zum Beispiel durch MAC-Adressen, IP-Adressen bis hin zu TCP- und UDP-Ports und höheren Protokollen)

  • Ebenfalls ist eine Zuordnung eines Ports zu einem VLAN nach Authentifizierung des Anwenders beispielsweise mittels 802.1X möglich

Jedes VLAN bildet (wie ein normales, physisch separiertes Netzsegment) eine eigene Broadcast-Domäne

  • Um den Verkehr zwischen den VLANs transparent zu vermitteln, benötigt man einen Router
  • Moderne Switches stellen diese Funktion intern zur Verfügung; man spricht dann von einem Layer-3-Switch

Die Überlegenheit von VLANs im Vergleich zur physischen Zuordnung zu verschiedenen Subnetzen basiert darauf, dass der Wechsel eines Clients von einem VLAN in ein anderes am Kopplungselement (Multilayerswitch, Router) geschehen kann, ohne dass eine physische Verbindung geändert werden muss

Verbindung von VLAN-Switches

Wenn sich ein VLAN über mehrere Switches erstreckt, ist zu deren Verbindung entweder für jedes VLAN ein eigener Link (Kabel) erforderlich, oder es kommen sogenannte VLAN-Trunks (VLT) zum Einsatz

  • Das Verfahren entspricht einem asynchronen Multiplexing
  • Deshalb dient ein VLT dazu, Daten der unterschiedlichen VLANs über eine einzige Verbindung weiterzuleiten
  • Hierzu können sowohl einzelne Ports als auch gebündelte Ports (siehe Link Aggregation) zum Einsatz kommen


  1. ↑ J. Jasperneite: Echtzeit-Ethernet im Überblick, atp 3/2005, S. 29-34, Vorlage:ISSN.
Abgerufen von „https://wiki.foxtom.de/index.php?title=Skript/Netzwerk/Grundlagen&oldid=169534“