DNS und DHCP für einen Standort bereitstellen

Ein neuer Standort bekommt Adressen, aber noch keine Namen

Die Nordlicht Medizintechnik GmbH eröffnet eine neue Reparaturwerkstatt. Im neuen Werkstatt-VLAN sollen Notebooks ihre Netzwerkkonfiguration automatisch erhalten. Die interne Auftragsanwendung soll unter auftrag.nordlicht.example erreichbar sein. Die Domain und alle Adressen in dieser Lektion sind Beispiele.

Beim ersten Test erhält ein Notebook eine IP-Adresse. Die Anwendung öffnet sich über ihre IP-Adresse, aber nicht über ihren Namen. Dein Auftrag besteht deshalb nicht nur darin, zwei Server einzuschalten. Du planst, welche Information welcher Dienst liefert, und baust einen Testweg auf, der eine Störung eingrenzt.

Nach dieser Lektion kannst du:

• DNS und DHCP anhand ihrer Aufgaben unterscheiden,
• einen DHCP-Bereich mit Gateway und DNS-Option planen,
• DNS-Einträge sowie wichtige Transportprotokolle und Ports zuordnen,
• eine Bereitstellung vom Client aus prüfen und einen fehlerhaften Wert erkennen.

Für die Lektion solltest du IP-Adresse, Präfix und Standardgateway grundsätzlich einordnen können. Du musst noch keinen DNS- oder DHCP-Server für ein bestimmtes Betriebssystem konfigurieren.

DHCP konfiguriert den Client, DNS beantwortet Namensfragen

Das Dynamic Host Configuration Protocol (DHCP) liefert einem Client eine verwendbare Netzwerkkonfiguration. Dazu gehören typischerweise eine IP-Adresse mit Präfix, ein Standardgateway und die Adresse eines DNS-Servers. Die genaue Zusammenstellung legt die Administration im DHCP-Bereich fest.

Das Domain Name System (DNS) beantwortet danach Fragen zu Namen. Für auftrag.nordlicht.example soll der DNS-Dienst zum Beispiel die IPv4-Adresse 10.61.20.40 liefern. DNS weist dem Notebook nicht seine eigene IP-Adresse zu. DHCP löst umgekehrt keine Anwendungsnamen auf.

Die drei Fragen führen nacheinander durch die Bereitstellung:

• “Welche Netzwerkkonfiguration soll ich verwenden?” DHCP liefert im Beispiel 10.61.40.100/24, das Gateway 10.61.40.1 und den DNS-Server 10.61.20.10.
• “Welche Adresse gehört zu diesem Namen?” DNS ordnet auftrag.nordlicht.example der Adresse 10.61.20.40 zu.
• “Kann ich die Anwendung erreichen?” Der HTTPS-Dienst verarbeitet die Webanfrage und liefert eine Antwort.

Protokoll, Transport und Port sind verschiedene Angaben

Ein Protokoll beschreibt Regeln für den Nachrichtenaustausch. TCP und UDP sind Transportprotokolle. Eine Portnummer hilft einem Betriebssystem, eingehende Daten dem passenden Dienst zuzuordnen. Der Port ist damit keine Eigenschaft des Kabels und auch nicht die Adresse des Servers.

Für die Bereitstellung brauchst du diese Zuordnungen:

• DNS: fragt Namen und Resource Records über UDP 53 oder TCP 53 ab.
• DHCP für IPv4: vergibt Client-Konfigurationen. Der Server nutzt UDP 67, der Client UDP 68.
• HTTPS: überträgt Webanwendungen verschlüsselt über TCP 443.
• SSH: ermöglicht die verschlüsselte entfernte Administration über TCP 22.

DNS wird häufig per UDP abgefragt. DNS-Implementierungen müssen aber auch TCP unterstützen. TCP kommt unter anderem bei bestimmten größeren Antworten und bei Zonentransfers zum Einsatz. Die Formulierung “DNS nutzt immer UDP” wäre deshalb zu eng.

Bei DHCP haben Server und Client unterschiedliche registrierte Ports. Ein neuer Client kennt außerdem noch keine verwendbare eigene Adresse. Seine erste Suche erfolgt bei IPv4 daher als Broadcast im lokalen Netz.

Plane den DHCP-Bereich vor der Freigabe

Für das Werkstatt-VLAN ist folgender Soll-Zustand dokumentiert:

Netz:               10.61.40.0/24
Standardgateway:    10.61.40.1
DHCP-Bereich:       10.61.40.100 bis 10.61.40.199
DNS-Server:         10.61.20.10
DNS-Suchdomäne:     nordlicht.example
Lease-Zeit:         8 Stunden

Die Adressen unterhalb des dynamischen Bereichs bleiben für dokumentierte Infrastruktur und Reservierungen frei. Das ist eine betriebliche Festlegung, keine technische Pflicht. Entscheidend ist, dass sich dynamisch vergebene und anderweitig belegte Adressen nicht überschneiden.

Eine Lease ist die zeitlich begrenzte Zuteilung einer Adresse. Acht Stunden sind hier ein Planungswert für das Szenario. Eine passende Lease-Zeit hängt unter anderem davon ab, wie häufig Geräte wechseln und wie knapp der Adressbereich ist.

Bei einer erfolgreichen IPv4-Zuteilung läuft vereinfacht die Folge DORA ab:

1. Discover: Der Client sucht einen DHCP-Server.
2. Offer: Ein Server bietet eine Konfiguration an.
3. Request: Der Client fordert das ausgewählte Angebot an.
4. Acknowledge: Der Server bestätigt die Zuteilung.

Der DHCP-Server steht im Server-VLAN 10.61.20.0/24. Ein Router leitet Broadcasts normalerweise nicht in ein anderes Netz weiter. Deshalb braucht die Layer-3-Komponente für das Werkstatt-VLAN eine DHCP-Relay-Konfiguration. Der Relay-Agent nimmt die lokale Anfrage entgegen und leitet sie gezielt zum DHCP-Server weiter. Dadurch kann der Server auch den passenden Adressbereich für das anfragende Netz auswählen.

DNS speichert Einträge, nicht nur IP-Adressen

DNS organisiert Informationen als Resource Records. Für die Bereitstellung reichen hier drei typische Record-Arten:

Diese drei Record-Arten decken typische Zuordnungen ab:

• A: Ein Name gehört zu einer IPv4-Adresse. Im Beispiel zeigt auftrag.nordlicht.example auf 10.61.20.40.
• AAAA: Ein Name gehört zu einer IPv6-Adresse. Der Wert wäre eine dokumentierte IPv6-Adresse des Auftragsservers.
• CNAME: Ein Name ist ein Alias für einen anderen Namen. So kann tickets.nordlicht.example auf auftrag.nordlicht.example verweisen.

Der lokale DNS-Server kann für die interne Zone nordlicht.example selbst autoritativ sein. Für andere Namen kann er als rekursiver Resolver arbeiten und weitere DNS-Server befragen. Das sind zwei Rollen, die auf demselben System liegen können, aber nicht dasselbe bedeuten.

Antworten dürfen zwischengespeichert werden. Die Time to Live (TTL) legt fest, wie lange ein Resolver einen Record höchstens im Cache behalten soll. Eine Änderung am autoritativen Server ist deshalb nicht zwingend sofort bei jedem Client sichtbar. Vor einer Änderung planst du die TTL und prüfst anschließend sowohl die autoritative Antwort als auch den Weg über den vorgesehenen Resolver.

Prüfe jeden Dienst mit einer eigenen Frage

Ein guter Test vergleicht den Ist-Zustand mit den dokumentierten Soll-Werten. Beginne beim Client und ändere nicht mehrere Server gleichzeitig.

1. DHCP-Konfiguration ansehen

Unter Windows zeigt ipconfig /all unter anderem Adresse, Gateway, DHCP- und DNS-Server. Unter Linux hängt der genaue Befehl vom Netzwerkdienst ab; ip address und ip route zeigen zumindest Adressen und Routen.

ipconfig /all

Prüfe, ob die Adresse im Werkstattbereich liegt und ob Gateway sowie DNS-Server den Soll-Werten entsprechen. Eine Adresse allein bestätigt noch nicht, dass die richtigen Optionen geliefert wurden.

2. DNS gezielt befragen

Mit nslookup kannst du den vorgesehenen Server ausdrücklich angeben:

nslookup auftrag.nordlicht.example 10.61.20.10

Unter Linux ist zum Beispiel diese Abfrage möglich:

dig @10.61.20.10 auftrag.nordlicht.example A

Erwartet wird der A-Record 10.61.20.40. Eine gezielte Abfrage ist aussagekräftiger als nur ping auftrag.nordlicht.example: Ein Ping über einen Namen vermischt Namensauflösung und ICMP-Erreichbarkeit. Außerdem dürfen Firewalls ICMP blockieren, obwohl der benötigte Anwendungsdienst funktioniert.

3. Den benötigten Anwendungsport prüfen

Unter Windows prüft dieser Befehl eine TCP-Verbindung zum HTTPS-Port:

Test-NetConnection auftrag.nordlicht.example -Port 443

Unter Linux kann ein reiner TCP-Verbindungstest so aussehen:

nc -vz auftrag.nordlicht.example 443

Ein erfolgreicher TCP-Test bestätigt noch nicht die fachliche Funktion der Webseite oder ihr Zertifikat. Er zeigt nur, dass der TCP-Port vom Client aus erreichbar ist. Danach folgt der eigentliche Aufruf der Anwendung.

Übertrage den Ablauf auf ein zweites VLAN

Was du jetzt voneinander trennen kannst

Eine funktionierende Bereitstellung besteht aus mehreren überprüfbaren Aussagen:

1. Der DHCP-Server kennt einen passenden Adressbereich und die richtigen Optionen.
2. Ein Relay überbrückt die VLAN-Grenze, wenn Server und Client nicht im selben Broadcast-Bereich liegen.
3. Der DNS-Dienst enthält den benötigten Record und beantwortet die Client-Abfrage.
4. Firewall-Regeln erlauben die benötigten Transportprotokolle und Ports.
5. Ein Client-Test bestätigt erst die Konfiguration, dann die Namensauflösung und schließlich die Anwendung.

Damit kannst du eine Störung genauer beschreiben als mit “das Netzwerk geht nicht”. Du benennst stattdessen, welche einzelne Aussage bestätigt ist und welche noch offen bleibt.

Quellenbasis und Abgrenzung

Die Einordnung in Lernfeld 9 folgt dem KMK-Rahmenlehrplan. Berufsbildposition A8 trägt das Betreiben, Prüfen, Entstören und Dokumentieren von IT-Systemen. Der FISI-Prüfungskatalog 2026 nennt DNS und DHCP ausdrücklich bei den zu administrierenden Netzwerkdiensten. Wiederkehrende Aufgabenformen aus einer Beispielprüfung wurden nur abstrahiert: Das Unternehmen, die Adressen, Namen, Werte und Arbeitsaufträge dieser Lektion sind neu.

Die technischen Rollen und Abläufe stützen sich auf RFC 1034, RFC 1035, RFC 2131 und für DNS über TCP auf RFC 7766. Die Portzuordnung folgt dem IANA-Register. Die Lektion behandelt IPv4-DHCP, grundlegende DNS-Records und die Diagnose vom Client aus. Hochverfügbarkeit, dynamische DNS-Updates, DNSSEC, DHCPv6 und eine konkrete Serverprodukt-Konfiguration bleiben bewusst für eigene Vertiefungen offen.

Belegmatrix

• Aufgaben von DNS und DHCP unterscheiden: LF9 und A8 bilden den Ordnungsmittelbezug. KMK-Rahmenlehrplan, Ausbildungsordnung, RFC 1034 und RFC 2131 tragen den Inhalt. Rollenerklärung und Zuordnungsaufgabe machen das Lernziel beobachtbar.
• DHCP-Bereich und Optionen planen: LF9, A8 und SI-PB2 bilden den Ordnungsmittelbezug. Der FISI-Prüfungskatalog 2026 und RFC 2131 tragen den Inhalt. Soll-Konfiguration, Ablaufdiagramm und Sortieraufgabe bilden die Lernaktivitäten.
• Protokolle, Ports und DNS-Einträge zuordnen: LF9, A8, SI-PB3 und DV-PB3 bilden den Ordnungsmittelbezug. RFC 1034, RFC 1035 und das IANA-Portregister tragen den Inhalt. Dienstübersicht, Record-Übersicht und Quiz prüfen die Zuordnung.
• Eine Störung systematisch eingrenzen: LF9, A8, SI-PB2 und SI-PB3 bilden den Ordnungsmittelbezug. Der FISI-Prüfungskatalog 2026 und das abstrahierte Aufgabenmuster aus Sommer 2023 tragen den Inhalt. Client-Befehle, Fehlersuche und Transferaufgabe bilden die Anwendung.