EuraStudy
Notizen/Informatik/INF-Net - Netzwerke und Internet
Notizen · InformatikAT · Matura

INF-Net - Netzwerke und Internet

Vom Schichtenmodell über IP, TCP und DNS bis HTTPS und REST. Netzwerktechnik ist die Voraussetzung jeder modernen Anwendung.

6 Abschnitte·~17 Min Lesezeit·5 Kompetenzen·Niveau Basis 2 · Standard 3 · Vertiefung 1·Stand 06/2026

T·0555 / 12
Prüfungsprofil
INF-Net-1 · OSI und TCP/IP Schichtenmodell vergleichenINF-Net-2 · IP-Adressierung und Subnetting beherrschenINF-Net-3 · Wichtige Anwendungsprotokolle (DNS, HTTP, HTTPS) erklärenINF-Net-4 · REST APIs und Webservices verstehenINF-Net-5 · WLAN, Router und Heimnetz konfigurieren und absichern
Tiefe

Lesetiefe: Vertiefung

Schrift

Schriftgröße: Standard

Inhalt · 6 Abschnitte▾
  1. INF-Net - Netzwerke und Internet
    • 01OSI- und TCP/IP-Schichtenmodell○
    • 02IP-Adressierung und Subnetting◐
    • 03DNS, HTTP/HTTPS und REST APIs◐
    • 04WLAN, Router und Heimnetz○
    • 05Routing, NAT und IPv6◐
    • 06Netzwerksicherheit - Firewall, VPN und TLS●
§ 01

OSI- und TCP/IP-Schichtenmodell#

●○○BasisLPINF-Net-1.1

Kernpunkte

Netzwerkkommunikation ist hochkomplex - vom elektrischen Signal bis zur fertigen Webseite. Um das beherrschbar zu machen, zerlegt man sie in Schichten, von denen jede eine klar abgegrenzte Aufgabe hat und nur mit ihren Nachbarn spricht. Zwei Modelle prägen die Praxis ().

OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)

OSI (7 Schichten) vs. TCP/IP (4 Schichten)Tabelle mit 3 Spalten und 7 Zeilen, Daten: OSI-Schicht · TCP/IP · Beispiele; 7 Anwendung · Anwendung · HTTP, DNS, SMTP; 6 Darstellung · Anwendung · TLS, Codierung; 5 Sitzung · Anwendung · Sessions, RPC; 4 Transport · Transport · TCP, UDP; 3 Vermittlung · Internet · IP, ICMP; 2 Sicherung · Netzzugang · Ethernet, MAC; 1 Bitübertragung · Netzzugang · Kabel, WLANOSI-SCHICHTTCP/IPBEISPIELE7 ANWENDUNGAnwendungHTTP, DNS, SMTP6 DARSTELLUNGAnwendungTLS, Codierung5 SITZUNGAnwendungSessions, RPC4 TRANSPORTTransportTCP, UDP3 VERMITTLUNGInternetIP, ICMP2 SICHERUNGNetzzugangEthernet, MAC1 BITÜBERTRAGUNGNetzzugangKabel, WLAN
Abb. 1Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".
Das OSI-Modell beschreibt 7 Schichten: (1) Bitübertragung, (2) Sicherung, (3) Vermittlung, (4) Transport, (5) Sitzung, (6) Darstellung, (7) Anwendung. Eselsbrücke von 7 nach 1: „Alle Deutschen Studenten trinken verschiedene Sorten Bier" - die genaue Reihenfolge ist Prüfungsstoff.
Das TCP/IP-Modell ist die praktische Implementierung des Internets und fasst auf 4 Schichten zusammen: Netzzugang (OSI 1-2), Internet (OSI 3), Transport (OSI 4) und Anwendung (OSI 5-7). Es ist gröber, aber genau das, was real auf jedem Rechner läuft.
Jede Schicht trägt charakteristische Protokolle: HTTP/SMTP/DNS auf Schicht 7, TLS auf 5/6, TCP/UDP auf 4 (Transport), IP auf 3 (Vermittlung), Ethernet/WLAN auf 2 (Sicherung) und Kupfer/Glasfaser auf 1. Merke: IP gehört auf Schicht 3, nicht 4; TLS auf 5/6, nicht auf den Transport.
Das tragende Prinzip ist die Kapselung (Encapsulation): Jede Schicht packt die Daten der darüberliegenden in einen eigenen „Umschlag" mit Header (und ggf. Footer) und reicht sie nach unten; beim Empfänger werden die Umschläge schichtweise wieder geöffnet. Eine HTTP-Antwort wird so nacheinander in TCP-, IP- und Ethernet-Header verpackt (siehe Beispiel).
Der Gewinn der Schichtung ist Trennung der Verantwortung und Austauschbarkeit: Man kann WLAN statt Ethernet (Schicht 2) oder IPv6 statt IPv4 (Schicht 3) einsetzen, ohne dass HTTP davon etwas merkt. Häufige Fehler: Schichten in falscher Reihenfolge nennen, IP der Transportschicht zuordnen, oder TLS dem Transport statt der Darstellung/Sitzung.
Musterbeispiel

Kapselung einer HTTP-Antwort

Eine HTTP-Antwort wird auf dem Weg zum Empfänger gekapselt - in welche Header?

  1. 01Schicht 7

    HTTP-Header (Status, Content-Type) und Body.

  2. 02Schicht 4 (TCP)

    TCP-Header mit Source/Destination Port, Sequence, ACK, Flags.

  3. 03Schicht 3 (IP)

    IP-Header mit Source/Destination IP, TTL.

  4. 04Schicht 2 (Ethernet)

    Ethernet-Frame mit Source/Destination MAC, Prüfsumme.

  5. 05Schicht 1

    Bits über Kupfer/Glas/Funkwelle.

Ergebnis: Jede Schicht hängt ihre Steuerdaten an; beim Empfänger werden sie schichtweise wieder entfernt.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    OSI ist die akademische Sicht in 7 Schichten, TCP/IP ist die praktische Implementation in 4 Schichten.

    OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)

    OSI (7 Schichten) vs. TCP/IP (4 Schichten)Tabelle mit 3 Spalten und 7 Zeilen, Daten: OSI-Schicht · TCP/IP · Beispiele; 7 Anwendung · Anwendung · HTTP, DNS, SMTP; 6 Darstellung · Anwendung · TLS, Codierung; 5 Sitzung · Anwendung · Sessions, RPC; 4 Transport · Transport · TCP, UDP; 3 Vermittlung · Internet · IP, ICMP; 2 Sicherung · Netzzugang · Ethernet, MAC; 1 Bitübertragung · Netzzugang · Kabel, WLANOSI-SCHICHTTCP/IPBEISPIELE7 ANWENDUNGAnwendungHTTP, DNS, SMTP6 DARSTELLUNGAnwendungTLS, Codierung5 SITZUNGAnwendungSessions, RPC4 TRANSPORTTransportTCP, UDP3 VERMITTLUNGInternetIP, ICMP2 SICHERUNGNetzzugangEthernet, MAC1 BITÜBERTRAGUNGNetzzugangKabel, WLAN
    Abb.Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".
  2. 2

    Jedes Schichtenmodell folgt dem Prinzip Encapsulation: niedrigere Schichten wissen nicht, was sie transportieren.

  3. 3

    Die Schichten sind austauschbar - WLAN ersetzt Ethernet, ohne dass HTTP es merkt.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre das OSI-Schichtenmodell. Welche Aufgaben übernehmen die einzelnen Schichten? Vergleiche kurz mit dem TCP/IP-Modell.

Maturafokus

  • Alle 7 OSI-Schichten in richtiger Reihenfolge mit je einem Beispielprotokoll.
  • Mapping OSI -> TCP/IP konkret nachvollziehen.
  • Kapselung als Konzept erklären (jede Schicht packt das Paket in einen eigenen Umschlag).

Typische Fehler

  • Schichten in falscher Reihenfolge benannt.
  • TLS fälschlich der Transportschicht zugeordnet (gehört in TCP/IP Anwendung, in OSI Schichten 5-6).
  • IP wird der Transportschicht zugeordnet (richtig: Vermittlung/Internet).

Aktive Wiederholung

Ordne folgende Protokolle der OSI-Schicht zu: DHCP, ARP, BGP, IMAP, FTP, HTTPS, SSH, ICMP.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: Tanenbaum, Wetherall: Computer Networks, 6. Auflage (Pearson) · ISO/IEC 7498-1 - OSI Reference Model (ISO)

§ 02

IP-Adressierung und Subnetting#

●●○StandardLPINF-Net-2.1

Kernpunkte

Eine IP-Adresse identifiziert einen Netzwerkanschluss auf Schicht 3. IPv4 nutzt 32 Bit, geschrieben als vier Dezimaloktette (z. B. 192.168.0.1). Damit Router wissen, welcher Teil das Netz und welcher den Host bezeichnet, braucht es die Subnetzmaske.
Die CIDR-Notation `/n` gibt die Zahl der Netzbits an: `/24` bedeutet 24 Netzbits und 32−24=832-24=832−24=8 Hostbits. Die zugehörige Subnetzmaske hat genau diese nnn Einsen, gefolgt von Nullen - `/24` === 255.255.255.0 ( listet die gängigen Präfixe).

IPv4-Präfixe und Hostzahlen

IPv4-PräfixeTabelle mit 4 Spalten und 6 Zeilen, Daten: CIDR · Subnetzmaske · Hostbits · nutzbare Hosts; /24 · 255.255.255.0 · 8 · 254; /25 · 255.255.255.128 · 7 · 126; /26 · 255.255.255.192 · 6 · 62; /27 · 255.255.255.224 · 5 · 30; /28 · 255.255.255.240 · 4 · 14; /30 · 255.255.255.252 · 2 · 2CIDRSUBNETZMASKEHOSTBITSNUTZBARE HOSTS/24255.255.255.08254/25255.255.255.1287126/26255.255.255.192662/27255.255.255.224530/28255.255.255.240414/30255.255.255.25222
Abb. 2Je länger das CIDR-Präfix, desto kleiner das Subnetz; nutzbar sind stets 2k−22^{k}-22k−2 Hosts.
Pro Subnetz mit kkk Hostbits gibt es 2k−22^{k}-22k−2 nutzbare Hostadressen: Die erste Adresse ist die Netzadresse (alle Hostbits 0), die letzte die Broadcast-Adresse (alle Hostbits 1) - beide sind reserviert. Bei `/26` (6 Hostbits) also 26−2=622^{6}-2 = 6226−2=62 Hosts (siehe Beispiel).
Netzadresse und Broadcast berechnet man durch bitweises UND von IP und Maske (Netz) bzw. Setzen aller Hostbits (Broadcast). Praktischer Trick: Die „Blockgröße" im letzten Oktett ist 256−Maskenwert256 - \text{Maskenwert}256−Maskenwert; bei `/26` (Maske 192) ist sie 64, die Netzgrenzen liegen also bei .0, .64, .128 und .192.
Drei Bereiche sind nach RFC 1918 privat und im Internet nicht routbar: `10.0.0.0/8`, `172.16.0.0/12` und `192.168.0.0/16`. Heimnetze nutzen sie und lassen ihren Verkehr per NAT auf eine öffentliche Adresse übersetzen - eine Antwort auf die IPv4-Knappheit.
IPv6 löst die Knappheit grundlegend: 128-Bit-Adressen (z. B. `2001:db8::1`) ergeben praktisch unbegrenzt viele. Häufige Fehler: beim Hostzählen das −2-2−2 vergessen, das CIDR-Präfix mit den Hostbits verwechseln, oder IPv6-Adressen an den Doppelpunkten nicht als solche erkennen.
Hosts nutzbar=2(32−n)−2\text{Hosts nutzbar} = 2^{(32 - n)} - 2Hosts nutzbar=2(32−n)−2

Anzahl Hosts pro IPv4-Subnetz mit Präfix /n

Musterbeispiel

IPv4-Subnetting mit /26

Bestimme Netzadresse, Broadcast-Adresse und Anzahl Hosts für 192.168.10.45/26.

  1. 01Präfixlänge

    /26 = 26 Netzbits, 32 - 26 = 6 Hostbits.

  2. 02Subnetzmaske

    11111111.11111111.11111111.11000000 = 255.255.255.192.

  3. 03Netzadresse

    192.168.10.45 AND 255.255.255.192 = 192.168.10.0 (da 45 < 64).

  4. 04Broadcast

    192.168.10.0 + 2^6 - 1 = 192.168.10.63.

  5. 05Hostanzahl

    2^6 - 2 = 62 nutzbare Host-Adressen (Netz- und Broadcast abziehen).

Ergebnis: Netz 192.168.10.0/26, Broadcast 192.168.10.63, 62 Hosts. IP 192.168.10.45 liegt im Bereich.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Subnetting heisst, mit der Maske den Netzanteil von der Hostadresse zu trennen.

  2. 2

    Pro Subnetz gehen 2 Adressen für Netz- und Broadcast verloren.

  3. 3

    IPv6 löst die Adressknappheit - 2^128 Adressen reichen für jeden Sandkörner.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgabe einer IP-Adresse und Subnetzmaske. Berechne für 172.16.20.130/27 die Netzadresse und Broadcast-Adresse.

Maturafokus

  • Aus IP + CIDR die Netz- und Broadcast-Adresse berechnen.
  • Anzahl nutzbarer Hosts korrekt -2 berechnen.
  • Privater vs. öffentlicher Adressraum kennen.

Typische Fehler

  • Beim Berechnen Netz- und Broadcast-Adresse vergessen abzuziehen.
  • CIDR-Präfix mit Hostbits verwechselt.
  • IPv6-Adressen wegen Doppelpunkten nicht erkannt.

Aktive Wiederholung

Berechne für 10.0.5.130/28 die Netz-, Broadcast- und Anzahl nutzbarer Host-Adressen. In welchem Bereich liegt die IP?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 791 - Internet Protocol (IETF) · RFC 4291 - IPv6 Addressing Architecture (IETF)

§ 03

DNS, HTTP/HTTPS und REST APIs#

●●○StandardLPINF-Net-3.1LPINF-Net-4.1

Kernpunkte

Ruft man eine Webseite auf, greifen mehrere Protokolle ineinander - vom Namen zur Adresse, vom Verbindungsaufbau bis zur verschlüsselten Übertragung. Dieser Stapel ist Standard-Prüfungsstoff (siehe Beispiel; zeigt den TCP-Aufbau).

TCP Three-Way-Handshake

Client Server SYN seq=x SYN/ACK seq=y, ack=x+1 ACK ack=y+1 ESTABLISHED ESTABLISHED
Abb. 3SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.
Das DNS (Domain Name System) übersetzt menschenlesbare Hostnamen in IP-Adressen über eine hierarchische verteilte Datenbank: Der Resolver fragt einen Root-Server (kennt die TLDs), dann den TLD-Server (`.at`), dann den autoritativen Server der Domain, der den A-Record (IPv4) bzw. AAAA-Record (IPv6) liefert. Antworten werden zwischengespeichert (Cache).
Bevor Daten fließen, baut TCP eine Verbindung über den Three-Way-Handshake auf: SYN → SYN/ACK → ACK (). Erst danach steht der zuverlässige, geordnete Bytestrom, auf dem HTTP aufsetzt.
HTTP ist textbasiert und zustandslos (jede Anfrage steht für sich): Methoden sind GET (lesen), POST (erzeugen), PUT (ersetzen), DELETE und PATCH; Statuscodes signalisieren das Ergebnis - 2xx Erfolg, 3xx Weiterleitung, 4xx Client-Fehler (404), 5xx Server-Fehler (500). HTTPS ist kein anderes Protokoll, sondern HTTP über TLS und garantiert Verschlüsselung, Integrität und Authentizität.
Eine REST-API nutzt HTTP konsequent ressourcenorientiert: Jede Ressource hat eine URL, und die HTTP-Methode bestimmt die Operation (GET zum Lesen, POST zum Anlegen, PUT/PATCH zum Ändern, DELETE zum Löschen). REST ist stateless - jede Anfrage trägt alle nötigen Informationen -, und JSON ist das De-facto-Datenformat (alternativ XML).
Häufige Fehler: HTTPS für ein eigenes Protokoll halten (es ist HTTP über TLS), GET für ändernde Aktionen verwenden (verstößt gegen die REST-/Idempotenz-Konvention), oder DNS und IP verwechseln. Für Aufgaben hilft die feste Reihenfolge DNS → TCP → TLS → HTTP.
Musterbeispiel

HTTPS-Request: vom DNS bis zur Antwort

Was passiert, wenn ich `https://example.at/profil` im Browser eingebe?

  1. 01DNS

    Browser fragt Resolver -> DNS-Server: A-Record für `example.at` liefert IP 203.0.113.34 (Doku-Adressbereich nach RFC 5737).

  2. 02TCP-Handshake

    SYN -> SYN/ACK -> ACK zur IP, Port 443.

  3. 03TLS-Handshake

    ClientHello, ServerHello, Zertifikataustausch, Schlüsselableitung; ergibt symmetrischen Sitzungsschlüssel.

  4. 04HTTP-Request

    `GET /profil HTTP/1.1\nHost: example.at\nAccept: text/html`

  5. 05Response

    `HTTP/1.1 200 OK\nContent-Type: text/html\n...`

  6. 06Render

    Browser parst HTML, holt verlinkte Ressourcen (CSS, JS, Bilder).

Ergebnis: Eine einzige URL-Anforderung löst mindestens DNS-, TCP-, TLS- und HTTP-Schichten aus.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    DNS ist das Telefonbuch des Internets - es macht aus Namen Nummern.

  2. 2

    HTTPS verschlüsselt den HTTP-Verkehr über TLS; das Zertifikat verbürgt die Identität des Servers.

    TCP Three-Way-Handshake

    Client Server SYN seq=x SYN/ACK seq=y, ack=x+1 ACK ack=y+1 ESTABLISHED ESTABLISHED
    Abb.SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.
  3. 3

    REST ist ein Stilprinzip, das HTTP konsequent ausnutzt - Ressourcen + Verben statt RPC-Funktionsaufrufe.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erläutere REST als Architekturprinzip für Webservices. Welche HTTP-Methoden werden eingesetzt und warum?

Maturafokus

  • Vollständige URL zerlegen können (Schema, Host, Port, Pfad, Query, Fragment).
  • Reihenfolge DNS -> TCP -> TLS -> HTTP verstehen.
  • REST-Konvention: Ressource + Methode = Operation.

Typische Fehler

  • HTTPS wird als anderes Protokoll als HTTP angesehen (richtig: HTTP über TLS).
  • GET für änderungsorientierte Aktionen verwendet (Verstoss gegen REST).
  • DNS und IP werden verwechselt.

Aktive Wiederholung

Beschreibe Schritt für Schritt, was passiert, wenn du `https://www.bmbwf.gv.at/index.html` im Browser eingibst. Welche Schichten sind beteiligt?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 2616 / RFC 9110 - HTTP/1.1 (IETF) · RFC 8446 - TLS 1.3 (IETF) · Fielding: Architectural Styles - REST (UC Irvine)

§ 04

WLAN, Router und Heimnetz#

●○○BasisLPINF-Net-5.1

Kernpunkte

Der Heim-Router ist das Herz jedes privaten Netzes - ein einziges Gerät, das mehrere Rollen vereint und die Heimgeräte mit dem Internet verbindet ().

Heimnetz-Topologie

Heimnetz-TopologieNetzgraph, Internet → Router, Router → PC, Router → Laptop, Router → Smartphone, Router → Gast-WLANInternetRouterPCLaptopSmartphoneGast-WLANWANLANWLANWLANisoliert
Abb. 4Der Router (hervorgehoben) verbindet als zentrales Gerät das WAN mit den LAN-Geräten und dem Gastnetz.
Ein typischer Router kombiniert: Modem (Anbindung ans Provider-Netz), Switch (LAN-Ports), Access Point (WLAN), DHCP-Server (automatische IP-Vergabe), NAT (Adressübersetzung) und Firewall (Verkehrsfilterung). Diese Bündelung sicher aufzählen zu können ist ein häufiger Prüfungspunkt.
WLAN (IEEE 802.11) überträgt per Funk; die Standards entwickelten sich von 802.11n (2,4/5 GHz) über 802.11ac (5 GHz, Wi-Fi 5) zu 802.11ax (Wi-Fi 6; das 6-GHz-Band erst mit Wi-Fi 6E). Die SSID ist der sichtbare Netzname, die BSSID die MAC-Adresse des Access Points.
Die WLAN-Verschlüsselung hat sich stark entwickelt: WEP gilt als gebrochen, WPA2 (mit AES) ist Mindeststandard, WPA3 ergänzt den SAE-Handshake gegen Offline-Bruteforce. Essentiell sind außerdem ein geändertes Admin-Passwort, aktuelle Firmware, deaktiviertes WPS und ein separates Gastnetz (siehe Beispiel).
NAT übersetzt die privaten LAN-Adressen in die eine öffentliche WAN-Adresse - deshalb genügt einem ganzen Haushalt eine einzige IPv4-Adresse. DHCP weist neuen Geräten automatisch IP, Gateway und DNS-Server zu, befristet auf eine Lease (oft 24 h).
Häufige Fehler: WEP für sicher halten, NAT mit einer Firewall gleichsetzen (NAT übersetzt nur Adressen, eine Firewall filtert nach Regeln), oder DHCP (Adressvergabe) und DNS (Namensauflösung) vermischen.
Musterbeispiel

Router-Konfiguration absichern

Welche Schritte sicheren einen neuen WLAN-Router ab?

  1. 01Standardpasswort ändern

    Admin-Zugang darf nicht "admin/admin" bleiben.

  2. 02Firmware aktualisieren

    Sicherheitsupdates installieren.

  3. 03WPA3 / WPA2-AES

    WPA/WEP deaktivieren; starkes WLAN-Passwort (>= 16 Zeichen).

  4. 04WPS deaktivieren

    WPS-PIN ist anfällig für Bruteforce.

  5. 05Gastnetz

    Separates SSID für Gäste, ohne Zugriff auf LAN.

  6. 06Fernzugriff

    Remote-Management aus dem Internet abschalten, wenn nicht nötig.

Ergebnis: Ein konsequent gehärteter Heimrouter ist die einfachste Massnahme für Heim-IT-Sicherheit.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Dein Heim-Router ist ein Schweizer Taschenmesser: Modem, Switch, Access Point, NAT, Firewall.

  2. 2

    WLAN-Sicherheit hat sich entwickelt: WEP war ein Bug, WPA2 ist Pflicht, WPA3 ist Stand der Technik.

  3. 3

    NAT ist warum dein Smartphone und Laptop sich eine öffentliche IP teilen können.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Beschreibe die Funktion eines Heim-Routers. Welche Komponenten und Sicherheitseinstellungen sind wichtig?

Maturafokus

  • WLAN-Verschlüsselung im Vergleich (WEP veraltet, WPA2 Standard, WPA3 modern).
  • Aufgaben eines Heim-Routers benennen.
  • NAT-Prinzip an einem Beispiel erklären.

Typische Fehler

  • WEP wird als sicher dargestellt.
  • NAT wird mit Firewall gleichgesetzt.
  • DHCP und DNS werden vermischt.

Aktive Wiederholung

Erkläre am Beispiel deines Heimrouters, welche Funktionen er erfüllt (mindestens 5 nennen). Welche Sicherheitseinstellungen sind essentiell?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: IEEE 802.11-2020 Standard (IEEE)

§ 05

Routing, NAT und IPv6#

●●○StandardLPINF-Net-2.1LPINF-Net-2.2

NAT - Adressübersetzung am Router

privates Netz 192.168.0.0/24 192.168.0.10 192.168.0.11 192.168.0.12 Router NAT / PAT 203.0.113.5 Internet Mapping-Tabelle (Auszug) 192.168.0.10:5001 -> 203.0.113.5:40001 192.168.0.11:5001 -> 203.0.113.5:40002 192.168.0.12:443 -> 203.0.113.5:40003
Abb. 5Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).

Kernpunkte

Routing ist die Wegewahl von Paketen zwischen Netzen auf Schicht 3; jeder Router trifft anhand seiner Routing-Tabelle eine Weiterleitungsentscheidung (longest prefix match).
Innerhalb einer Organisation arbeiten interne Protokolle (OSPF, RIP), zwischen Providern das Border Gateway Protocol (BGP).
Der Default-Gateway ist die Route für alle Ziele ausserhalb des eigenen Subnetzes (`0.0.0.0/0`).
NAT (Network Address Translation) bzw. PAT übersetzt mehrere private IP-Adressen (RFC 1918: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`) auf eine öffentliche Adresse - eine Antwort auf die IPv4-Knappheit.
NAT führt eine Port-Mapping-Tabelle: ausgehende Verbindungen werden auf eindeutige Quellports der öffentlichen IP abgebildet.
IPv6 löst die Adressknappheit grundlegend: 128 Bit ergeben 2128≈3,4⋅10382^{128} \approx 3{,}4 \cdot 10^{38}2128≈3,4⋅1038 Adressen, schreibweise in 8 Hex-Gruppen, NAT wird damit überflüssig.
IPv6 bringt zusätzlich vereinfachte Header, eingebaute Autokonfiguration (SLAAC) und obligatorische Multicast-Unterstützung.
232≈4,3⋅109(IPv4)2128≈3,4⋅1038(IPv6)2^{32} \approx 4{,}3 \cdot 10^{9} \quad\text{(IPv4)} \qquad 2^{128} \approx 3{,}4 \cdot 10^{38} \quad\text{(IPv6)}232≈4,3⋅109(IPv4)2128≈3,4⋅1038(IPv6)

Größe der Adressräume

Musterbeispiel

Routing-Entscheidung mit longest prefix match

Ein Router hat die Einträge `192.168.10.0/24 -> if1`, `192.168.0.0/16 -> if2`, `0.0.0.0/0 -> if0`. An welches Interface geht ein Paket an 192.168.10.45?

  1. 01Schritt 1 - Kandidaten prüfen

    192.168.10.45 passt zu `192.168.10.0/24`, zu `192.168.0.0/16` und zur Default-Route `0.0.0.0/0`.

  2. 02Schritt 2 - longest prefix match

    Von den passenden Routen gewinnt die mit der längsten Präfixmaske: /24 ist spezifischer als /16 und /0.

  3. 03Schritt 3 - Weiterleitung

    Das Paket wird an `if1` (die /24-Route) weitergeleitet.

Ergebnis: Das Paket geht an if1; die Default-Route greift nur, wenn keine spezifischere Route passt.

Musterbeispiel

NAT-Mapping für zwei Geräte

Zwei Geräte (192.168.0.10 und 192.168.0.11) öffnen je eine HTTPS-Verbindung. Wie unterscheidet der Router die Antworten?

  1. 01Schritt 1 - ausgehend

    Gerät 1: 192.168.0.10:5001 -> Router übersetzt auf 203.0.113.5:40001. Gerät 2: 192.168.0.11:5001 -> 203.0.113.5:40002.

  2. 02Schritt 2 - Tabelle

    Der Router speichert beide Mappings in der PAT-Tabelle (privater Sockel <-> öffentlicher Sockel).

  3. 03Schritt 3 - eingehend

    Antwort an 203.0.113.5:40002 wird laut Tabelle auf 192.168.0.11:5001 zurückübersetzt.

Ergebnis: Durch eindeutige Quellports kann ein Router viele private Geräte hinter einer öffentlichen IP unterscheiden (Port Address Translation).

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Routing ist die Wegewahl: jeder Router schaut in seine Tabelle und nimmt die spezifischste passende Route.

    NAT - Adressübersetzung am Router

    privates Netz 192.168.0.0/24 192.168.0.10 192.168.0.11 192.168.0.12 Router NAT / PAT 203.0.113.5 Internet Mapping-Tabelle (Auszug) 192.168.0.10:5001 -> 203.0.113.5:40001 192.168.0.11:5001 -> 203.0.113.5:40002 192.168.0.12:443 -> 203.0.113.5:40003
    Abb.Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).
  2. 2

    NAT ist die geniale Notlösung gegen IPv4-Knappheit - ein ganzes Heimnetz hinter einer Adresse.

  3. 3

    IPv6 macht NAT überflüssig, weil es mehr Adressen gibt als Sandkörner auf der Erde.

SRDP-Aufgaben

SelbsttestAus der Fragenbank6 Punkte

Aufgabenstellung

Erläutere, wie NAT die Knappheit von IPv4-Adressen entschärft. Vergleiche IPv4 und IPv6 hinsichtlich Adressraum und Notwendigkeit von NAT.

Maturafokus

  • Operator "erklären": warum NAT als Brückentechnologie zur IPv4-Knappheit entstand.
  • Operator "vergleichen": IPv4 (32 Bit, dezimal-punktiert) vs. IPv6 (128 Bit, hexadezimal-doppelpunkt).
  • Den Default-Gateway-Eintrag `0.0.0.0/0` und das Prinzip longest prefix match einordnen.
  • Privaten vs. öffentlichen Adressbereich (RFC 1918) sicher unterscheiden.

Typische Fehler

  • NAT mit Firewall gleichgesetzt - NAT übersetzt Adressen, eine Firewall filtert nach Regeln.
  • Private IP-Bereiche nicht gekannt oder mit öffentlichen verwechselt.
  • Annahme, IPv6 sei nur "ein längeres IPv4" - es ist ein eigener, nicht direkt kompatibler Adressraum (Dual Stack nötig).
  • IPv6-Kurzschreibweise (`::` für Nullgruppen) falsch oder mehrfach angewendet.

Aktive Wiederholung

Erkläre die Funktion von NAT in einem Heimnetz und beurteile, inwiefern IPv6 NAT überflüssig macht.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 1918 - Address Allocation for Private Internets (IETF) · RFC 8200 - Internet Protocol, Version 6 (IPv6) (IETF)

§ 06

Netzwerksicherheit - Firewall, VPN und TLS#

●●●VertiefungLPINF-Net-3.1LPINF-Net-3.2

RSA - Schlüsselpaar und Verschlüsselung

Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
Abb. 6Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.

Kernpunkte

Eine Firewall filtert Datenverkehr nach Regeln (Quell-/Ziel-IP, Port, Protokoll); Stateful-Firewalls verfolgen den Verbindungszustand und lassen Antwortpakete automatisch zu.
Das Default-Deny-Prinzip (alles verbieten, nur Nötiges erlauben) ist sicherer als Default-Allow.
Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über das öffentliche Internet auf (z.B. WireGuard, IPsec, OpenVPN) und schützt Vertraulichkeit und Integrität.
TLS sichert Anwendungsverkehr (HTTPS) durch einen Handshake: Aushandeln der Cipher Suite, Server-Authentifizierung per Zertifikat, Schlüsselaustausch (heute meist ephemeres Diffie-Hellman für Perfect Forward Secrecy), danach symmetrische Verschlüsselung.
Ein Zertifikat bindet einen öffentlichen Schlüssel an eine Identität; eine Zertifizierungsstelle (CA) signiert es, der Browser prüft die Vertrauenskette.
Typische Angriffe: Man-in-the-Middle (durch Zertifikatsprüfung verhindert), DDoS (durch Rate-Limiting/Anycast gemildert), Port-Scanning (durch Firewall begrenzt).
Eine DMZ (demilitarisierte Zone) isoliert öffentlich erreichbare Server (Webserver) vom internen Netz.
Musterbeispiel

TLS-Handshake Schritt für Schritt

Beschreibe, wie Browser und Webserver beim Aufruf einer HTTPS-Seite eine sichere Verbindung aufbauen.

  1. 01Schritt 1 - ClientHello

    Der Browser sendet unterstützte TLS-Versionen, Cipher Suites und einen Zufallswert.

  2. 02Schritt 2 - ServerHello + Zertifikat

    Der Server wählt eine Cipher Suite, sendet sein Zertifikat (mit öffentlichem Schlüssel) und einen Zufallswert.

  3. 03Schritt 3 - Zertifikatsprüfung

    Der Browser prüft die Signaturkette bis zu einer vertrauenswürdigen CA und die Gültigkeit (Domain, Ablaufdatum).

  4. 04Schritt 4 - Schlüsselaustausch

    Per ephemerem Diffie-Hellman einigen sich beide auf ein gemeinsames Sitzungsgeheimnis (Perfect Forward Secrecy).

  5. 05Schritt 5 - Finished

    Beide bestätigen den Handshake; ab jetzt wird symmetrisch (z.B. AES-GCM) verschlüsselt - schnell und sicher.

Ergebnis: TLS erreicht Vertraulichkeit (symmetrische Verschlüsselung), Integrität (MAC/AEAD) und Authentizität (Server-Zertifikat); der MitM-Angriff scheitert an der Zertifikatsprüfung.

Musterbeispiel

Firewall-Regelsatz nach Default-Deny

Ein Webserver soll nur HTTP/HTTPS aus dem Internet annehmen, SSH nur aus dem internen Netz. Entwirf den Regelsatz.

  1. 01Schritt 1 - Basis

    Default-Policy: alle eingehenden Pakete verwerfen (Default-Deny).

  2. 02Schritt 2 - Webzugriff

    ALLOW TCP von beliebig nach Port 80 und 443.

  3. 03Schritt 3 - Adminzugriff

    ALLOW TCP von 192.168.0.0/16 nach Port 22 (SSH), alles andere auf 22 DENY.

  4. 04Schritt 4 - Prüfung

    Externer SSH-Versuch fällt unter Default-Deny und wird verworfen.

Ergebnis: Nur explizit erlaubter Verkehr passiert; SSH ist auf das interne Netz beschränkt - Angriffsfläche minimal.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Eine Firewall ist der Türsteher des Netzes: erst die Regel, dann der Einlass - am sichersten mit Default-Deny.

  2. 2

    TLS verheiratet asymmetrische und symmetrische Kryptografie: Zertifikat für Vertrauen, Sitzungsschlüssel für Tempo.

    RSA - Schlüsselpaar und Verschlüsselung

    Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
    Abb.Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.
  3. 3

    Ein VPN spannt einen verschlüsselten Tunnel über das offene Internet - so als wäre man im Heimnetz.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgaben einer Firewall und den Ablauf eines TLS-Handshakes. Diskutiere, welche Schutzziele jeweils adressiert werden.

Maturafokus

  • Operator "erklären": Ablauf des TLS-Handshakes und Rolle des Zertifikats.
  • Operator "beurteilen": warum Default-Deny dem Default-Allow vorzuziehen ist.
  • Operator "unterscheiden": Firewall (filtert) vs. VPN (verschlüsselt/tunnelt) vs. TLS (sichert Anwendungsverbindung).
  • Man-in-the-Middle-Angriff und seine Abwehr durch die CA-Vertrauenskette darstellen.

Typische Fehler

  • VPN und TLS gleichgesetzt - VPN tunnelt das gesamte Netz, TLS sichert eine einzelne Anwendungsverbindung.
  • Annahme, HTTPS verschlüssele auch die Ziel-IP/Domain (SNI ist teils sichtbar; DNS oft im Klartext).
  • Firewall als Allheilmittel: sie schützt nicht vor Angriffen über erlaubte Ports (z.B. über Port 443).
  • Selbstsignierte Zertifikate für Produktion verwendet - keine vertrauenswürdige CA-Kette.

Aktive Wiederholung

Erkläre den Ablauf eines TLS-Handshakes und beurteile, welche Schutzziele dabei erreicht werden.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 8446 - TLS 1.3 (IETF) · BSI - Mindeststandard zur Nutzung von TLS (BSI)

Inhalt

Abschnitt -- / 06

    • 01OSI- und TCP/IP-Schichtenmodell○
    • 02IP-Adressierung und Subnetting◐
    • 03DNS, HTTP/HTTPS und REST APIs◐
    • 04WLAN, Router und Heimnetz○
    • 05Routing, NAT und IPv6◐
    • 06Netzwerksicherheit - Firewall, VPN und TLS●

0/6 Gelesen

Aus den Notizen ins Training

INF-Net - Netzwerke und Internet

Festige dieses Thema an passenden Aufgaben aus der Fragenbank.

~17
Min
5
Kompetenzen
Üben
Beispielfrage

Erkläre das OSI-Schichtenmodell. Welche Aufgaben übernehmen die einzelnen Schichten? Vergleiche kurz mit dem TCP/IP-Modell.

7 BE · 2022

Zur Fragenbank

Belege & Quellen

Quellen

Pearson

  • Tanenbaum, Wetherall: Computer Networks, 6. Auflage

ISO

  • ISO/IEC 7498-1 - OSI Reference Model

IETF

  • RFC 791 - Internet Protocol
  • RFC 4291 - IPv6 Addressing Architecture
  • RFC 2616 / RFC 9110 - HTTP/1.1
  • RFC 8446 - TLS 1.3
  • RFC 1918 - Address Allocation for Private Internets
  • RFC 8200 - Internet Protocol, Version 6 (IPv6)

UC Irvine

  • Fielding: Architectural Styles - REST

IEEE

  • IEEE 802.11-2020 Standard

BSI

  • BSI - Mindeststandard zur Nutzung von TLS

Vorheriges Thema

INF-DB - Datenbanken und relationale Datenmodelle

Nächstes Thema

INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz

EuraStudy·Notizen T·05·MMXXVI

Weiter mit dem nächsten Thema — der Lernpfad bleibt erhalten.