Eine Netzwerkstörung mit dem OSI- und TCP/IP-Modell eingrenzen

Ein neuer Packplatz erreicht den Versanddienst nicht

Ein Ersatzteilgroßhandel nimmt den Packplatz VERSAND-12 in Betrieb. Das Notebook erhält per DHCP eine gültige Adresse im neuen Netz 10.70.32.0/24. E-Mail und Internet funktionieren. Die interne Anwendung https://label.fracht.intern lädt dagegen nicht.

Ein Kollege schlägt vor, Browser und Notebook neu zu installieren. Das wäre ein großer Eingriff, obwohl die Ursache noch nicht eingegrenzt ist. Du sollst zuerst die vorhandenen Beobachtungen ordnen, gezielt weiterprüfen und eine begründete Diagnose dokumentieren.

Nach dieser Lektion kannst du:

• die Aufgaben der sieben OSI-Schichten erklären,
• das OSI-Modell und das TCP/IP-Modell sinnvoll aufeinander beziehen,
• die Kapselung einer Verbindung vom Anwendungsdatum bis zum Übertragungsmedium nachvollziehen,
• aus Testergebnissen den nächsten sinnvollen Diagnoseschritt ableiten.

Du solltest bereits wissen, wofür IP-Adresse, Standardgateway und DNS-Server gebraucht werden. Einzelne Protokolle lernst du hier nicht vollständig zu konfigurieren. Entscheidend ist, welche Beobachtung welchen Teil der Kommunikation prüft.

Ein Schichtenmodell trennt Zuständigkeiten

Bei einer Netzwerkverbindung passieren viele Dinge fast gleichzeitig. Das Kabel überträgt Signale, ein Switch leitet Frames weiter, Router wählen Wege, TCP verwaltet eine Verbindung und die Anwendung tauscht fachliche Daten aus. Ohne Ordnung führt ein Fehler schnell zu zufälligem Ausprobieren.

Ein Schichtenmodell teilt diese Kommunikation in Aufgabenbereiche. Jede Schicht nutzt Leistungen der darunterliegenden Schicht und stellt der darüberliegenden Schicht eine klarere Leistung bereit. Für die Diagnose entsteht daraus eine hilfreiche Frage:

Welche Funktion ist bereits nachweislich vorhanden, und welche Funktion wurde noch nicht erfolgreich geprüft?

Das Open Systems Interconnection Basic Reference Model, kurz OSI-Modell, beschreibt sieben Schichten. Es ist ein Referenzmodell. Es hilft beim Erklären, Planen und Eingrenzen, ist aber kein Bauplan, den jedes Betriebssystem intern genau so umsetzen muss.

1. Schicht 7, Anwendung: Kann die Anwendung ihren Dienst nutzen? Beispiele sind HTTP, DNS und SMTP.
2. Schicht 6, Darstellung: Sind Format, Kodierung oder Schutz der Daten kompatibel? Hier lassen sich zum Beispiel Zeichenkodierung, Datenformate und Verschlüsselung einordnen.
3. Schicht 5, Sitzung: Kann ein Dialog aufgebaut, gehalten und geordnet werden? Dazu gehören Sitzungssteuerung, Wiederaufnahme und Kontrollpunkte.
4. Schicht 4, Transport: Erreicht die Kommunikation den richtigen Dienst zuverlässig oder datagrammorientiert? TCP, UDP und Ports gehören hierher.
5. Schicht 3, Vermittlung: Findet ein Paket seinen Weg zwischen IP-Netzen? Diese Aufgabe tragen unter anderem IPv4, IPv6, Routing und Router.
6. Schicht 2, Sicherung: Funktioniert die Übertragung im lokalen Netzabschnitt? Beispiele sind Ethernet-Frames, MAC-Adressen, VLANs und Switches.
7. Schicht 1, Bitübertragung: Können Signale über das Medium übertragen werden? Hier geht es etwa um Kupfer, Glasfaser, Funk und Stecker.

Die oberen drei OSI-Schichten sind in realen Anwendungen oft eng miteinander verbunden. Eine Bibliothek kann zum Beispiel Verschlüsselung übernehmen, während die Anwendung die Sitzung verwaltet. Deshalb ist die Tabelle keine Aufforderung, jedes Programm oder Protokoll genau einem Kästchen zuzuweisen. Sie ordnet die hauptsächliche Aufgabe ein.

Das TCP/IP-Modell fasst Aufgaben zusammen

Das TCP/IP-Modell beschreibt den Protokollstapel, auf dem das Internet praktisch aufbaut. RFC 1122 unterscheidet vier Schichten: Anwendung, Transport, Internet und Netzzugang. Die Modelle verfolgen unterschiedliche Zwecke. Deshalb lassen sie sich nur näherungsweise aufeinander abbilden.

• Die Anwendungsschicht fasst ungefähr die OSI-Schichten 5 bis 7 zusammen. Beispiele sind HTTP, DNS, SMTP, anwendungsnahe Datenformate und Sitzungslogik.
• Die Transportschicht entspricht ungefähr OSI-Schicht 4. Hier arbeiten TCP und UDP.
• Die Internetschicht entspricht ungefähr OSI-Schicht 3. Sie umfasst IP und das Routing zwischen Netzen.
• Die Netzzugangsschicht fasst ungefähr die OSI-Schichten 1 und 2 zusammen. Dazu gehören Ethernet, WLAN, das Medium und der lokale Frame-Transport.

Manche Lehrdarstellungen teilen den Netzzugang in eine Sicherungs- und eine Bitübertragungsschicht. Dann hat das TCP/IP-Modell fünf statt vier Ebenen. Das ist kein neues Netzwerkverfahren, sondern eine andere Darstellung. Für diese Lektion verwenden wir die vier Schichten aus RFC 1122.

Die Abbildung zeigt auch, warum Aussagen wie “HTTPS gehört ausschließlich auf OSI-Schicht 7” zu grob sind. HTTP ist ein Anwendungsprotokoll. Bei HTTPS kommen unter anderem Verschlüsselung, TCP, IP und ein Netzzugangsverfahren hinzu. Eine vollständige Verbindung nutzt den gesamten Stapel.

Kapselung fügt Steuerinformationen hinzu

VERSAND-12 sendet eine HTTPS-Anfrage an den Labeldienst. Die Anwendung übergibt ihre Daten nach unten durch den Protokollstapel. Jede beteiligte Ebene ergänzt die Steuerinformationen, die sie für ihre Aufgabe braucht. Dieser Vorgang heißt Kapselung.

1. Die Anwendung erzeugt Daten, zum Beispiel eine HTTP-Anfrage innerhalb der geschützten Verbindung.
2. TCP ergänzt unter anderem Quell- und Zielport. Die Einheit wird als TCP-Segment bezeichnet.
3. IP ergänzt Quell- und Ziel-IP-Adresse. Es entsteht ein IP-Paket.
4. Ethernet ergänzt für den aktuellen lokalen Übertragungsabschnitt unter anderem Quell- und Ziel-MAC-Adresse. Es entsteht ein Frame.
5. Die Netzwerktechnik überträgt den Frame als Signale über das Medium.

Am Ziel läuft der Vorgang in umgekehrter Richtung. Der Netzwerkadapter und der Protokollstapel prüfen die für sie bestimmten Steuerinformationen und entfernen sie schrittweise. Das heißt Entkapselung.

Zwischen Client und Server kann der Ethernet-Frame an jedem Routerübergang neu aufgebaut werden. Die MAC-Adressen gelten nur für den jeweiligen lokalen Übertragungsabschnitt. Die IP-Zieladresse bleibt beim normalen Routing dagegen für den Weg zum Ziel erhalten. Router verändern jedoch bestimmte IP-Felder, etwa den Hop Limit bei IPv6 oder die Time to Live bei IPv4. Verfahren wie Network Address Translation sind ein zusätzlicher Sonderfall und können Adressen oder Ports verändern.

Diagnose beginnt mit Aussagen, nicht mit Vermutungen

Zurück zu VERSAND-12. Du sammelst zuerst den genauen Umfang: Nur der interne Labeldienst ist betroffen. Andere Netzdienste funktionieren. Der Fehler besteht seit der Inbetriebnahme des neuen Clientnetzes.

Danach prüfst du vom grundlegenden Transport bis zum konkreten Dienst. Die Ausgaben sind für dieses neue Szenario erstellt:

1. Link am Client:                          verbunden, 1 Gbit/s
2. IP-Konfiguration:                       10.70.32.44/24
   Standardgateway:                        10.70.32.1
   DNS-Server:                             10.70.8.10
3. ping 10.70.32.1:                        Antwort
4. nslookup label.fracht.intern:           10.70.24.18
5. ping 10.70.24.18:                       Antwort
6. Test TCP-Verbindung zu 10.70.24.18:443: fehlgeschlagen

Jedes Ergebnis grenzt die Suche ein:

• Der Link belegt, dass auf der Bitübertragungsschicht grundsätzlich eine Verbindung besteht. Er beweist noch keine korrekte VLAN- oder IP-Konfiguration.
• Die Antwort des Gateways zeigt, dass lokale Übertragung und IP-Kommunikation zum Router für diesen Test funktionieren.
• nslookup zeigt, dass der Client den Namen auflösen und den DNS-Server erreichen kann.
• Die Antwort des Servers auf ICMP zeigt einen funktionierenden IP-Weg für diese Pakete. Sie beweist nicht, dass TCP-Port 443 erreichbar ist.
• Der fehlgeschlagene TCP-Test lenkt die Suche auf den Dienst, eine Filterregel oder den TCP-Verbindungsaufbau.

Damit wäre eine Neuinstallation des Browsers weiterhin unbegründet. Der nächste sinnvolle Schritt ist, den Dienststatus und die Regeln auf dem Pfad für 10.70.24.18:443 zu prüfen.

Der Befund liegt an der Grenze von Vermittlung und Transport

Die zentrale Firewall protokolliert den fehlgeschlagenen Verbindungsversuch:

action=deny
source=10.70.32.44
destination=10.70.24.18
protocol=tcp
destination_port=443
rule=implicit-deny

In der freigegebenen Netzplanung findest du eine Regel für das bisherige Packplatznetz 10.70.16.0/24. Das neue Netz 10.70.32.0/24 fehlt. Die Firewall verwirft deshalb TCP-Verbindungen zum Labeldienst.

Der Befund nutzt mehrere Schichten: Quell- und Ziel-IP-Adresse gehören zur Vermittlungsschicht, TCP und Zielport zur Transportschicht. Für die praktische Diagnose reicht die Aussage: Der IP-Weg zum Server besteht, aber die Sicherheitsrichtlinie erlaubt den benötigten TCP-Dienst für das neue Quellnetz nicht.

Die Lösung besteht nicht darin, die Firewall abzuschalten. Nach Prüfung der fachlichen und sicherheitstechnischen Freigabe wird die bestehende Regel kontrolliert um das neue Packplatznetz ergänzt. Anschließend wiederholst du mindestens den TCP-Test und den Aufruf der Anwendung. Im Änderungsprotokoll hältst du Ausgangslage, freigegebene Regeländerung, Testergebnisse und verantwortliche Freigabe fest.

Übertrage den Diagnoseweg auf einen neuen Fall

Was du für weitere Störungen mitnehmen kannst

Das OSI-Modell ist mehr als eine Liste mit sieben Namen. Als Diagnosewerkzeug hilft es dir, Beobachtungen zu trennen und jeden weiteren Test zu begründen:

1. Kläre zuerst, wer und was betroffen ist.
2. Ordne vorhandene Belege nach ihrer Funktion ein.
3. Verwechsle einen erfolgreichen Einzeltest nicht mit einer vollständig funktionierenden Verbindung.
4. Prüfe als Nächstes die niedrigste oder gezielt verdächtige Funktion, für die noch kein Beleg vorliegt.
5. Dokumentiere Befund, Änderung und erneuten Test.

Das TCP/IP-Modell beschreibt den praktisch genutzten Internet-Protokollstapel kompakter. Die Zuordnung zum OSI-Modell bleibt näherungsweise. Für eine gute Diagnose ist nicht entscheidend, ob du ein Gerät starr einer Schicht zuordnest. Entscheidend ist, welche Funktion du geprüft hast und welche Aussage das Ergebnis wirklich trägt.

Quellenbasis und Abgrenzung

• Der KMK-Rahmenlehrplan ordnet das Einbinden, Prüfen und Dokumentieren von Clients dem Lernfeld 3 zu.
• Die Fachinformatikerausbildungsverordnung verankert in Berufsbildposition A8 unter anderem Netzwerkkonzepte, Datenaustausch, Verfügbarkeitsanalyse, Störungsbehebung und Dokumentation. § 9 trägt den Bezug zum Konfigurieren und Testen eines IT-gestützten Arbeitsplatzes im ersten Teil der Abschlussprüfung.
• Der AP1-Prüfungskatalog nennt Netzwerkprotokolle und das OSI-Modell sowie Test, Fehlersuche und Dokumentation von Netzwerkverbindungen. Der AP2-Prüfungskatalog stützt die fachliche Breite von OSI, TCP/IP, Adressierung, Routing, Switching und Transportprotokollen. Daraus folgt keine Vorhersage für einen konkreten Prüfungstermin.
• ISO/IEC 7498-1 trägt das siebenschichtige OSI-Referenzmodell. RFC 1122 trägt die hier verwendete vierschichtige Darstellung des Internet-Protokollstapels.
• Szenario, Netze, Protokollausgaben und Aufgaben dieser Lektion sind neu erstellt. Die Lektion erklärt keine vollständige Firewall-, TLS-, DNS- oder Protokollkonfiguration. Sie trainiert die schichtweise Eingrenzung einer Störung.

Belegmatrix

1. OSI- und TCP/IP-Modell erklären: LF3 und A8 bilden den Ordnungsmittelbezug. Rahmenlehrplan, Ausbildungsordnung, AP1- und AP2-Prüfungskatalog, ISO/IEC 7498-1 und RFC 1122 tragen den Inhalt. Du arbeitest dafür mit der Schichtenübersicht, der Zuordnungsaufgabe und dem Modell-Quiz.
2. Protokolle, Adressen und Komponenten einordnen: LF3, A8 und T1 bilden den Ordnungsmittelbezug. Ausbildungsordnung sowie AP1- und AP2-Prüfungskatalog tragen den Inhalt. Du übst mit der Zuordnungsaufgabe und dem Merksatz zu Adressarten.
3. Kapselung und Entkapselung nachvollziehen: LF3 und A8 bilden den Ordnungsmittelbezug. ISO/IEC 7498-1 und RFC 1122 tragen das Modell. Du nutzt das HTTPS-Beispiel und das Diagramm mit gleichwertiger Textfassung.
4. Eine Störung eingrenzen und den nächsten Schritt begründen: LF3, A1, A8 und T1 bilden den Ordnungsmittelbezug. Rahmenlehrplan, Ausbildungsordnung und AP1-Prüfungskatalog tragen die berufliche Handlung. Du bearbeitest die Sortieraufgabe, die Firewall-Fehlersuche, das Entscheidungsquiz und die Transferaufgabe.