Netzwerk betreiben und erweitern

Ein Netzwerk ist nach dem Aufbau nicht fertig. Es wächst, Geräte altern, Standorte kommen dazu und Störungen müssen schnell behoben werden. In diesem Modul nimmst du ein bestehendes Netz auf, überwachst es mit SNMP und einem Monitoring-Tool und sicherst die Konfigurationen automatisch. Du richtest Routing zwischen mehreren Netzen ein, verbindest einen Aussenstandort per VPN und planst Erweiterungen mit Budget, Wartungsfenster und Rückfallplan. Störungen grenzt du systematisch nach OSI-Schichten ein.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Ein bestehendes Netzwerk aufnehmen und aktuell dokumentieren

   Kompetenz A

   Bevor du etwas änderst, musst du wissen, was da ist. Du findest Geräte, Verbindungen und Adressen mit Scans und Nachbarschaftsprotokollen und hältst alles in einer Dokumentation fest, die gepflegt wird.

   Situation

   Dein Lehrbetrieb übernimmt die IT eines Logistikunternehmens in Härkingen mit 80 Arbeitsplätzen. Die letzte Netzwerkdoku ist von 2019.

   Deine Aufgabe

   Erstelle eine aktuelle Übersicht über alle aktiven Netzwerkgeräte und ihre Verbindungen.

   Gutes Ergebnis

   nmap-Scan über 10.1.0.0/16 findet 214 Geräte. 'show lldp neighbors' auf allen 9 Switches ergibt die Verkabelung. Alles ist in NetBox erfasst: Standorte, Racks, Geräte, VLANs, IP-Präfixe. Zwei unbekannte Switches unter Bürotischen sind markiert.

   Netzwerk-InventarLLDP / CDPnmapIPAMSource of Truth
2. 2

   Das Netzwerk mit SNMP und einem Monitoring-Tool überwachen

   Kompetenz B

   Du lässt Switches, Router und Firewalls laufend abfragen und definierst Schwellwerte. Bei Problemen geht eine Meldung raus, bevor die Benutzer etwas merken.

   Situation

   Beim Logistikunternehmen fiel letzte Woche ein Uplink aus. Bemerkt hat es erst das Lager, als die Scanner nicht mehr buchten.

   Deine Aufgabe

   Richte ein Monitoring für alle Netzwerkgeräte ein.

   Gutes Ergebnis

   Zabbix auf einer Ubuntu-VM, SNMPv3 mit Authentifizierung und Verschlüsselung auf allen Geräten. Überwacht werden Erreichbarkeit, Interface-Status, Auslastung der Uplinks, CPU und Temperatur. Alarm per E-Mail und Teams, wenn ein Uplink down ist oder länger als 10 Minuten über 80 % ausgelastet.

   SNMPv2c vs. SNMPv3OID / MIBTrapSchwellwertEskalation
3. 3

   Konfigurationen sichern und Firmware-Updates kontrolliert durchführen

   Kompetenz C

   Jede Geräte-Konfiguration wird automatisch gesichert und Änderungen werden sichtbar. Firmware-Updates planst du nach Herstellerhinweisen und spielst sie zuerst auf einem unkritischen Gerät ein.

   Situation

   Nach einer Änderung an einem Etagenswitch weiss niemand mehr, was vorher konfiguriert war. Ausserdem meldet der Hersteller eine kritische Lücke in der Switch-Firmware.

   Deine Aufgabe

   Sorge für automatische Backups und plane das Update.

   Gutes Ergebnis

   Oxidized holt jede Nacht alle Konfigurationen per SSH und legt sie in einem Git-Repository ab. Unterschiede sind als Diff sichtbar. Das Firmware-Update läuft zuerst auf dem Lager-Switch, dann nach 48 Stunden ohne Probleme auf den übrigen Geräten im Wartungsfenster am Samstag.

   KonfigurationsbackupVersionierung / DiffRelease NotesPilotgerätWartungsfenster
4. 4

   Statisches und dynamisches Routing für mehrere Netze einrichten

   Kompetenz D

   Mit statischen Routen verbindest du wenige Netze einfach und nachvollziehbar. Wird das Netz grösser, verteilt OSPF die Routen automatisch und reagiert selbst auf Ausfälle.

   Situation

   Das Logistikunternehmen hat am Hauptsitz drei Router-Segmente: Büro 10.1.0.0/16, Lager 10.2.0.0/16 und Server 10.3.0.0/24. Neue Netze wurden bisher von Hand auf jedem Router nachgetragen.

   Deine Aufgabe

   Stelle auf OSPF um, damit neue Netze automatisch bekannt werden.

   Gutes Ergebnis

   OSPF-Prozess 1, alle Router in Area 0, Router-IDs 1.1.1.1 bis 3.3.3.3. Default-Route nur auf dem Internet-Router, verteilt mit 'default-information originate'. 'show ip ospf neighbor' zeigt FULL bei allen Nachbarn. Fällt ein Link aus, ist der Ersatzweg nach wenigen Sekunden aktiv.

   Routingtabellestatische RouteDefault-RouteOSPF / Area 0administrative Distanz
5. 5

   Einen Aussenstandort per Site-to-Site-VPN anbinden

   Kompetenz D

   Ein zweiter Standort wird über das Internet verschlüsselt mit dem Hauptsitz verbunden. Du stimmst Netze, Verschlüsselungsparameter und Firewall-Regeln auf beiden Seiten aufeinander ab.

   Situation

   Das Logistikunternehmen eröffnet ein Aussenlager in Möhlin mit 12 Arbeitsplätzen. Die Mitarbeitenden brauchen Zugriff auf das ERP am Hauptsitz.

   Deine Aufgabe

   Verbinde die Standorte per IPsec-VPN zwischen zwei OPNsense-Firewalls.

   Gutes Ergebnis

   IKEv2 mit AES-256-GCM und Pre-Shared-Key von 32 Zeichen. Lokales Netz Möhlin 10.20.0.0/24, Remote-Netz Hauptsitz 10.1.0.0/16 und 10.3.0.0/24. Firewall-Regel erlaubt aus Möhlin nur ERP (TCP 443) und DNS zum Hauptsitz. Tunnel ist stabil, Monitoring prüft per Ping auf 10.3.0.10.

   IPsecIKEv2Phase 1 / Phase 2Interessanter VerkehrMTU / MSS
6. 6

   Eine Netzwerkerweiterung planen, budgetieren und als Change umsetzen

   Kompetenz E

   Du klärst Anforderungen, wählst Geräte, rechnest Kosten in CHF und planst die Umsetzung so, dass der Betrieb möglichst wenig gestört wird. Für den Fall, dass etwas schiefgeht, hast du einen Rückfallplan.

   Situation

   Im Hauptsitz wird ein neues Stockwerk mit 30 Arbeitsplätzen, 30 IP-Telefonen und 3 Access Points bezogen.

   Deine Aufgabe

   Erstelle ein Konzept mit Material, Kosten und Umsetzungsplan.

   Gutes Ergebnis

   Zwei Switches mit 48 Ports PoE+ und 10G-Uplinks (je ca. CHF 2'800), zwei Glasfaser-Uplinks zum Core. Neues VLAN 40 mit 10.1.40.0/24. Change-Antrag mit Zeitplan Samstag 08:00 bis 12:00, Testliste und Rückfallplan: Uplink-Ports wieder deaktivieren, Konfig aus Git zurückspielen.

   KapazitätsplanungPoE-BudgetChange-AntragRückfallplanAbnahmetest
7. 7

   Störungen systematisch nach OSI-Schichten eingrenzen und beheben

   Kompetenz F

   Du gehst bei Störungen strukturiert vor: Symptome aufnehmen, betroffenen Bereich eingrenzen, Schicht für Schicht prüfen. Die Lösung dokumentierst du so, dass das Team beim nächsten Mal schneller ist.

   Situation

   Im Lager klagen alle über langsame Scanner-Buchungen, aber nur zwischen 07:00 und 09:00. Das Büro hat keine Probleme.

   Deine Aufgabe

   Finde die Ursache.

   Gutes Ergebnis

   Monitoring zeigt den Lager-Uplink morgens bei 100 %. Die Interface-Zähler zeigen viele CRC-Fehler, ein Port läuft auf 100 Mbit/s Half-Duplex. Ursache: beschädigtes Patchkabel. Nach Tausch läuft der Port auf 1 Gbit/s Full-Duplex, Auslastung morgens bei 35 %. Ticket mit Ursache und Lösung im Wissensartikel erfasst.

   Bottom-up / Top-downInterface-ZählerDuplex-MismatchPaketmitschnittRoot-Cause-Analyse

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Luan ist im 3. Lehrjahr als Informatiker Plattformentwicklung in der internen IT der Holzwerk Strub AG in Langenthal, einem Möbelhersteller mit 180 Mitarbeitenden. Der langjährige Netzwerkverantwortliche ist pensioniert und hat eine Excel-Liste von 2019 hinterlassen. Luan soll das Netz übernehmen, einen neuen Showroom in Bern anbinden und eine Produktionshalle erschliessen.

1. Kapitel 1

   Ein Netz ohne Plan

   Luan scannt die Adressbereiche mit nmap und folgt den Verbindungen über LLDP von Switch zu Switch. Er findet 23 Switches statt der 19 aus der Liste, darunter einen unverwalteten 8-Port-Switch unter einem Tisch in der Spedition. Alle Geräte, Verbindungen und Adressbereiche trägt er in NetBox ein. Mit seinem Teamleiter vereinbart er, dass jede Änderung erst als erledigt gilt, wenn NetBox nachgeführt ist.

   Ziel 1

2. Kapitel 2

   Wissen, bevor jemand anruft

   Luan nimmt alle Switches inklusive Layer-3-Core, die zwei Router und die Firewall per SNMPv3 in Zabbix auf und meldet Uplinks über 80 Prozent Auslastung während 15 Minuten. In der ersten Woche kommen 140 Mails, weil bei jedem kurzen Ausfall eines Etagenswitches auch alle Access Points dahinter Alarm schlagen. Er definiert Abhängigkeiten, und die Mails sinken auf eine Handvoll pro Woche. Parallel sichert Oxidized jede Nacht alle Konfigurationen in Git und zeigt gleich am ersten Tag eine undokumentierte Änderung auf dem Core-Switch.

   Ziel 2Ziel 3

3. Kapitel 3

   Der Showroom in Bern

   Der neue Showroom in Bern mit 6 PCs, einer Kasse und Kunden-WLAN soll per IPsec mit Langenthal verbunden werden. Der Tunnel steht zwar in Phase 1, aber kein Paket kommt durch: Luan hat in Phase 2 lokales und entferntes Netz vertauscht. Danach müsste er auf den drei internen Routing-Geräten in Langenthal (Layer-3-Core und zwei Router) neun statische Routen pflegen. Er stellt stattdessen auf OSPF in Area 0 um, und das Netz 10.30.0.0/24 aus Bern wird automatisch überall bekannt.

   Ziel 5Ziel 4

4. Kapitel 4

   Halle 3 braucht Netz

   Für die neue Produktionshalle plant Luan zwei 24-Port-PoE-Switches, vier Access Points und einen Glasfaser-Uplink zum Core. Er rechnet mit CHF 14'800 inklusive Arbeit und vergleicht das mit einer günstigeren Variante ohne redundanten Uplink. Der Change-Antrag sieht ein Fenster am Samstag von 7 bis 11 Uhr vor, der Rückfallplan stützt sich auf die gesicherten Konfigurationen aus Oxidized. Das nötige Firmware-Update testet er zuerst auf dem Switch im Lager, bevor er den Core aktualisiert.

   Ziel 6Ziel 3

5. Kapitel 5

   Montag 7.40 Uhr: Die Spedition hängt

   Die Scanner in der Spedition verlieren immer wieder für einige Sekunden die Verbindung. Luan grenzt Schicht für Schicht ein und sieht in Zabbix steigende CRC-Fehler am Port, an dem der unverwaltete Switch aus der Bestandsaufnahme hängt. Ein Wireshark-Mitschnitt zeigt viele Wiederholungen, der Kabeltester eine beschädigte Leitung. Luan ersetzt Kabel und Switch durch einen verwalteten Switch und schreibt einen Wissensartikel mit den Symptomen und den Befehlen, die ihn zur Ursache geführt haben.

   Ziel 7

1. 1

   Ein Netz kennenlernen, das du nicht gebaut hast

   ca. 5 Std.

   Du übst, ein fremdes Netz zu verstehen und sauber zu dokumentieren.

   • In GNS3 ein vorgefertigtes Netz mit 5 Geräten laden und nur mit show-Befehlen und LLDP einen Plan zeichnen
   • NetBox per Docker starten und das Netz darin erfassen
   • Mit nmap das eigene Heimnetz scannen und alle Geräte identifizieren

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Überwachen und sichern

   ca. 6 Std.

   Du baust ein Monitoring auf und sorgst dafür, dass jede Konfiguration automatisch gesichert wird.

   • Zabbix oder LibreNMS als VM installieren und zwei GNS3-Router per SNMPv3 einbinden
   • Einen Alarm für 'Interface down' definieren und durch Abschalten eines Ports auslösen
   • Oxidized mit Git einrichten und eine Konfigänderung im Diff anschauen

   Trainiert Kompetenz B1B2C1C2

   Lernziel23

3. 3

   Routing verstehen und automatisieren

   ca. 6 Std.

   Du baust ein Netz mit mehreren Routern zuerst mit statischen Routen und stellst es dann auf OSPF um.

   • Drei Router mit vier Netzen statisch verbinden und die Routingtabellen lesen
   • Auf OSPF umstellen und mit 'show ip route' die Herkunft der Routen vergleichen
   • Einen Link trennen und messen, wie schnell der Ersatzweg greift

   Trainiert Kompetenz D1D2

   Lernziel4

4. 4

   Standorte verbinden

   ca. 6 Std.

   Du verbindest zwei virtuelle Standorte per IPsec und lernst, Tunnel-Probleme zu analysieren.

   • Zwei OPNsense-VMs in VirtualBox aufsetzen und einen IKEv2-Tunnel einrichten
   • Absichtlich unterschiedliche Phase-2-Parameter setzen und die Fehlermeldung im Log suchen
   • Firewall-Regeln so einschränken, dass nur benötigte Dienste durch den Tunnel gehen

   Trainiert Kompetenz D2D3

   Lernziel5

5. 5

   Erweitern ohne Chaos

   ca. 5 Std.

   Du planst eine Erweiterung wie in einem echten Kundenauftrag mit Budget, Change-Antrag und Rückfallplan.

   • Für ein neues Stockwerk Material und Kosten in CHF zusammenstellen (Herstellerpreise recherchieren)
   • Einen Change-Antrag mit Zeitplan, Risiken, Tests und Rückfallplan schreiben
   • Die Erweiterung in GNS3 durchspielen und das Abnahmeprotokoll ausfüllen

   Trainiert Kompetenz E1E2C3

   Lernziel63

6. 6

   Störungen lösen wie im 2nd Level

   ca. 5 Std.

   Du trainierst die Fehlersuche an realistischen Fällen und schreibst danach Wissensartikel.

   • Fünf vorbereitete Störungen in einem GNS3-Lab lösen und die Zeit messen
   • Für jede Störung einen kurzen Wissensartikel mit Symptom, Ursache und Lösung schreiben
   • Mit Wireshark einen Mitschnitt mit TCP-Retransmissions analysieren

   Trainiert Kompetenz F1F2F3B3

   Lernziel72

SNMP

Protokoll zum Abfragen und Überwachen von Netzwerkgeräten.

MIB / OID

Struktur und eindeutige Kennung der Werte, die ein Gerät per SNMP bereitstellt.

OSPF

Dynamisches Routing-Protokoll, das den kürzesten Weg anhand von Kosten berechnet.

Administrative Distanz

Vertrauenswert einer Routenquelle. Je tiefer, desto bevorzugter.

Site-to-Site-VPN

Verschlüsselte Verbindung zwischen zwei Standortnetzen über das Internet.

IKEv2

Protokoll zum Aushandeln der Schlüssel und Parameter eines IPsec-Tunnels.

Change-Management

Geregelter Prozess, um Änderungen zu planen, zu bewilligen, umzusetzen und zu prüfen.

Wartungsfenster

Vereinbarter Zeitraum, in dem Unterbrüche für Arbeiten erlaubt sind.

Duplex-Mismatch

Zwei Seiten einer Verbindung arbeiten mit unterschiedlichem Duplex-Modus, was zu Fehlern und Langsamkeit führt.

Passende Module