Wie Daten durchs Netz reisen

Worum es geht

Montagmorgen, 7.45 Uhr. Bei der Bürotech Emmental GmbH in Burgdorf klingelt das Telefon: «Bei uns geht das Internet nicht!» Für die Kundin ist das eine einzige Störung. Für dich als ICT-Fachperson steckt dahinter eine ganze Kette: Netzwerkkarte, Kabel, Wanddose, Switch, Router, Provider, DNS-Server, Webserver. Fällt irgendein Glied aus, sieht es für die Kundin gleich aus: «geht nicht».

Wer diese Kette kennt, kann gezielt messen, statt zu raten. In dieser ersten Lektion lernst du, welche Geräte in einem kleinen Firmennetz mitspielen, was in der ersten Sekunde nach dem Aufruf einer Webseite passiert und wie du mit ipconfig, ping und tracert dein eigenes Netz vermisst. Alles Weitere im Kurs baut auf diesem Bild auf.

Das Netz als Postsystem

Stell dir ein Netzwerk wie die Post vor. Damit ein Brief ankommt, braucht er eine Adresse, und unterwegs gibt es Stellen, die entscheiden, wohin er als Nächstes geht.

Zwei Adressen pro Gerät: MAC und IP

Jedes Gerät im Netz hat zwei Arten von Adressen:

• Die MAC-Adresse (z.B. 3C-52-82-4A-1F-0B) ist fest in der Netzwerkkarte gespeichert. Sie hat 48 Bit (sechs Hexadezimal-Paare), die ersten drei Paare verraten den Hersteller. Sie ist wie der Name an der Wohnungstür: Im Haus findet der Briefträger damit die richtige Tür, für eine Reise quer durch die Schweiz taugt sie nicht.
• Die IP-Adresse (z.B. 192.168.50.57) ist eine logische Adresse, die das Gerät je nach Netz bekommt. Sie hat 32 Bit, geschrieben als vier Zahlen von 0 bis 255, und ist wie eine Postadresse: Ein Teil nennt das Netz (den «Ort»), der andere das Gerät (die «Hausnummer»). Zu Hause bekommt dein Firmenlaptop eine andere IP-Adresse, die MAC-Adresse bleibt gleich.

Wie die IP-Adresse genau in Netzteil und Geräteteil zerfällt, regelt die Subnetzmaske. Das rechnen wir in Lektion 2 im Detail durch.

Switch, Router und Access Point

Drei Gerätetypen begegnen dir in jedem KMU-Netz:

Dazu kommen das Patchpanel (Verteilerleiste im Netzwerkschrank, an der die Kabel aus den Wanddosen enden) und die Firewall, die festlegt, welcher Verkehr hinein und hinaus darf. In kleinen Betrieben stecken Router, Firewall, WLAN und DHCP-Server oft zusammen im Gerät des Providers, kurz «der Router».

So sieht ein typisches kleines Netz aus:

Was passiert, wenn du srf.ch aufrufst

Du tippst www.srf.ch in den Browser und drückst Enter. In weniger als einer Sekunde läuft Folgendes ab:

1. Eigene Adresse vorhanden? Der PC hat beim Einschalten vom DHCP-Server (meist im Router) IP-Adresse, Subnetzmaske, Standardgateway und DNS-Server bekommen. Ohne diese vier Angaben geht nichts.
2. Name übersetzen (DNS). Computer verbinden sich mit IP-Adressen, nicht mit Namen. Der PC fragt den DNS-Server: «Welche IP-Adresse hat www.srf.ch?» DNS ist das Telefonbuch des Internets.
3. Ziel nah oder fern? Der PC vergleicht die Ziel-IP mithilfe der Subnetzmaske mit seinem eigenen Netz. Liegt das Ziel ausserhalb, geht das Paket an das Standardgateway.
4. MAC-Adresse des Gateways (ARP). Im lokalen Netz wird nach MAC-Adresse zugestellt. Der PC ruft per Broadcast: «Wer hat 192.168.50.1?», der Router antwortet. Der PC merkt sich die Antwort im ARP-Cache, oft kennt er sie schon von der DNS-Anfrage.
5. Switch leitet weiter. Der Switch liest die Ziel-MAC-Adresse und schickt das Paket nur an den Port des Routers.
6. Router schickt ins Internet. Er ersetzt die private Absenderadresse durch seine öffentliche (NAT, Network Address Translation) und übergibt das Paket dem Provider.
7. Reise über viele Router. Im Internet springt das Paket über mehrere Router (Hops) bis zum Server von SRF.
8. Antwort zurück. Der Router ordnet die Antwort dank NAT wieder deinem PC zu, der Browser zeigt die Seite.

Damit diese Schritte zusammenarbeiten, sind die Aufgaben in Schichten aufgeteilt. Für die Praxis reicht das vereinfachte TCP/IP-Modell mit vier Schichten:

Drei Werkzeuge für den ersten Blick

Windows bringt die wichtigsten Diagnosewerkzeuge mit. Du startest sie in der Eingabeaufforderung (Windows-Taste, cmd, Enter).

ping schickt kleine Testpakete (ICMP Echo Request) und wartet auf die Antwort (Echo Reply). Eine erfolgreiche Antwort sieht so aus:

C:\> ping 192.168.50.1

Ping wird ausgeführt für 192.168.50.1 mit 32 Bytes Daten:
Antwort von 192.168.50.1: Bytes=32 Zeit<1ms TTL=64
Antwort von 192.168.50.1: Bytes=32 Zeit=1ms TTL=64
(zwei weitere Antworten)

Ping-Statistik für 192.168.50.1:
    Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0
    (0% Verlust),

Kommt keine Antwort, meldet Windows «Zeitüberschreitung der Anforderung». Wichtig: Ein fehlgeschlagener ping beweist nicht immer, dass das Ziel weg ist. Manche Geräte und die Windows-Firewall beantworten ping absichtlich nicht.

IPv4-Adresse  . . . . . . . . . . : 192.168.50.57(Bevorzugt)
Subnetzmaske  . . . . . . . . . . : 255.255.255.128
Standardgateway . . . . . . . . . : 192.168.50.1
DHCP-Server . . . . . . . . . . . : 192.168.50.1
DNS-Server  . . . . . . . . . . . : 192.168.50.1

Schritt für Schritt: Dein eigenes Netz vermessen

Elias macht diese Übung an seinem ersten Tag. Mach sie parallel an deinem eigenen PC.

Schritt 1: Konfiguration auslesen. Elias tippt ipconfig /all und sucht den aktiven Adapter (Ethernet oder WLAN). Der wichtige Ausschnitt:

Ethernet-Adapter Ethernet:

   Physische Adresse . . . . . . . . : 3C-52-82-4A-1F-0B
   DHCP aktiviert. . . . . . . . . . : Ja
   IPv4-Adresse  . . . . . . . . . . : 192.168.1.57(Bevorzugt)
   Subnetzmaske  . . . . . . . . . . : 255.255.255.0
   Standardgateway . . . . . . . . . : 192.168.1.1
   DHCP-Server . . . . . . . . . . . : 192.168.1.1
   DNS-Server  . . . . . . . . . . . : 192.168.1.1

Schritt 2: Werte deuten. Elias notiert:

• Physische Adresse: die MAC-Adresse seiner Netzwerkkarte.
• DHCP aktiviert: Ja: Die Adresse wurde automatisch zugeteilt.
• IP 192.168.1.57 mit Maske 255.255.255.0: Der PC steht im Netz 192.168.1.0. Alle Geräte von .1 bis .254 sind direkte «Nachbarn».
• Gateway, DHCP- und DNS-Server sind alle 192.168.1.1: Der Router übernimmt drei Aufgaben, typisch für ein KMU.

Schritt 3: Gateway testen. ping 192.168.1.1 liefert vier Antworten mit unter 1 ms. Damit ist klar: Netzwerkkarte, Kabel, Switch und IP-Konfiguration funktionieren bis zum Router.

Schritt 4: Internet ohne DNS testen. ping 8.8.8.8 (ein öffentlicher DNS-Server von Google) antwortet nach rund 10 ms. Der Weg ins Internet ist offen, ganz ohne Namensauflösung.

Schritt 5: Den Weg verfolgen. tracert www.srf.ch zeigt alle Stationen. Die öffentlichen Adressen sind hier durch Beispieladressen ersetzt:

Routenverfolgung zu www.srf.ch [203.0.113.80]
über maximal 30 Hops:

  1    <1 ms    <1 ms    <1 ms  192.168.1.1
  2     7 ms     6 ms     7 ms  198.51.100.1
  3     8 ms     8 ms     7 ms  198.51.100.45
  4     *        *        *     Zeitüberschreitung der Anforderung.
  5     9 ms     9 ms     9 ms  203.0.113.80

Ablaufverfolgung beendet.

Elias liest: Hop 1 ist der eigene Router (unter 1 ms). Ab Hop 2 ist das Paket beim Provider, die Zeit springt auf etwa 7 ms. Hop 4 beantwortet die Testpakete nicht. Das ist harmlos, denn das Ziel in Hop 5 antwortet wieder. Problematisch wäre nur, wenn ab einem Hop bis zum Schluss nur noch Sternchen kämen.

Schritt 6: Skizze zeichnen. Elias skizziert: PC → Switch → Router 192.168.1.1 → Provider → Internet → SRF, daneben IP, Maske, Gateway und DNS. Daraus wird später jeder Netzwerkplan in draw.io.

Typische Fehler

• Switch und Router verwechseln. «Ich hänge noch einen Router an, dann habe ich mehr Ports.» Für mehr Anschlüsse im gleichen Netz brauchst du einen Switch. Ein zweiter Router eröffnet ein zweites Netz, und Geräte dahinter (z.B. der Drucker) sind für die anderen nicht mehr direkt erreichbar.
• Den falschen Adapter ablesen. ipconfig /all listet auch VPN-, Bluetooth- oder virtuelle Adapter. Nur der aktive Adapter mit Adresse zählt.
• Aus einem fehlgeschlagenen ping zu viel schliessen. Scheitert ping auf einen PC, kann die Windows-Firewall die Antwort blockieren. Teste zuerst ein Gerät, das sicher antwortet, z.B. das Gateway.
• Sternchen bei tracert als Ausfall deuten. Einzelne * mitten im Weg sind normal. Kritisch sind nur Sternchen bis zum Schluss.

Zusammenfassung

• Jedes Gerät hat eine feste MAC-Adresse (Zustellung im lokalen Netz) und eine logische IP-Adresse (Zustellung über Netzgrenzen hinweg).
• Der Switch verbindet Geräte im gleichen Netz anhand von MAC-Adressen, der Router verbindet Netze anhand von IP-Adressen, der Access Point bringt WLAN-Geräte ins Kabelnetz.
• Ziele ausserhalb des eigenen Netzes erreicht ein PC über das Standardgateway. Namen übersetzt der DNS-Server in IP-Adressen.
• Ein PC braucht vier Angaben: IP-Adresse, Subnetzmaske, Gateway, DNS-Server. Meist liefert sie DHCP.
• ipconfig /all zeigt die Konfiguration, ping prüft die Erreichbarkeit, tracert zeigt den Weg und wo er abbricht.