Hier entscheidest du, womit und in welcher Form die drei Standorte verbunden werden, und rechnest nach, was der Tunnel vom Kamera-Upload des Lagers übrig lässt.
Sprint 6Brückenstufe 4
Eure Story: Als IT-Leitung HLG will ich Station und Lager über einen sicheren Tunnel im Hub, damit Kameras und Büros auch dann laufen, wenn eine Leitung ausfällt.
Input · Tunnel und Protokolle. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 1 und 2.
Du vergleichst die drei Protokollfamilien für jede Strecke, legst die Topologie fest und rechnest Nutzlast und Bruttorate für beide Wege des Lagers.
0 von 7 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Das beste Protokoll gibt es nicht. Es gibt das, das an beiden Enden läuft, durch das NAT dazwischen kommt und das der Betrieb versteht.
Am Ende hast du: eine Protokollauswahl je Strecke mit Begründung, eine Topologie für drei Standorte und eine nachgerechnete Overhead-Rechnung für den Kamera-Upload.
Karte „Adressen und Routing kompakt“: Was du aus dem Netzaufbau brauchst, auf einer Seite: Adressen, Subnetze, Routing, die drei Standorte. Die Karte steht im Wissensspeicher.
Erst du, dann die anderen
Die IT-Leitung fragt: „Welches VPN nehmen wir, und weshalb gerade das?“ Wie würdest du an die Entscheidung herangehen?
So gehen andere vor. Such dir einen Weg aus.
- Ein Protokoll für alles. Ihr nehmt für alle Strecken dasselbe Verfahren. Das ist für den Betrieb am einfachsten zu lernen und zu überwachen. Es zwingt aber jedes Gerät auf dasselbe Protokoll, auch dort, wo ein anderes besser passt.
- Je Strecke das passende. Ihr wählt für jede Strecke nach ihrer Lage, etwa ein Protokoll, das gut mit Carrier-NAT umgeht, für das Lager und ein genormtes für das Stationsbüro. Das trifft jede Lage genau. Der Betrieb muss dann aber zwei Verfahren beherrschen.
- Nach Bewertungsmatrix. Ihr gewichtet Sicherheit, Aufwand, Durchsatz und NAT-Tauglichkeit, vergebt Punkte und lasst rechnen. Das ist nachvollziehbar für die IT-Leitung. Die Gewichte sind aber selbst eine Entscheidung, die ihr begründen müsst.
Es gibt hier nicht den einen richtigen Weg. Entscheide dich für einen und schreib dazu, weshalb. In Aufgabe 12.6 kommst du darauf zurück.
Gegebene Werte: Tunnel und Strecken · aufklappen, wenn du sie brauchst
Gegebene Werte: Tunnel und Strecken
- MTU der Strecken
- 1500 Byte auf Glasfaser, Richtfunk, Kupfer und 5G (Unterrichtswert; im Mobilfunk ist sie oft kleiner)
- Kopflängen
- IPv4 20, TCP 20, UDP 8, ESP-Kopf 8, IV 8, ESP-Trailer 2 plus Auffüllen auf 4, ICV 16, WireGuard-Kopf 16, WireGuard-Tag 16 Byte (Tabelle in der Fachgrundlage)
- Kamera-Upload Lager
- 16 Kameras zu 8 Mbit/s, also 128 Mbit/s; mit Reserve 1,5 sind es 192 Mbit/s Nutzlast
- Wege des Lagers
- Richtfunk 500/500 Mbit/s mit 198.51.100.20; 5G bis 300/50 Mbit/s hinter Carrier-NAT
- Stationsbüro
- Kupfer bis 250/40 Mbit/s, dynamische Adresse (Beispiel 198.51.100.77), station.hlg.example per DDNS, Bedarf 39 Mbit/s
- Gateways
- Hub: Firewall mit eingebautem VPN, kann IPsec mit IKEv2 und WireGuard. Station: Router des Anschlusses, kann nur IPsec mit IKEv2. Lager: kleiner Linux-Rechner, kann alles, was sich installieren lässt
- Bisherige Regeln am Hub
- aus Teil 4: von außen nur die Dienste der DMZ erreichbar (Sendungsverfolgung 203.0.113.3, Mail-Relay 203.0.113.4, Telefonie-Grenze 203.0.113.5), alles andere verweigert; an 203.0.113.2 selbst ist noch nichts offen
Die Gateways sind herstellerneutral beschrieben. Im Labor stehen sie für eine Firewall-VM, einen Router in Packet Tracer und einen Raspberry Pi.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Protokoll- und Topologieentscheidung
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- einer Vergleichstabelle der drei Protokollfamilien nach Sicherheit, Aufwand, Durchsatz und Carrier-NAT
- deiner Wahl je Strecke (Hub und Station, Hub und Lager) mit Begründung
- der Topologie mit Zahl der Tunnel und dem Weg von Station zu Lager
- der Overhead-Rechnung: Nutzlast je Paket und Bruttorate des Kamera-Uploads auf beiden Wegen des Lagers
- den Ports, die in der Filtertabelle aus Teil 4 dazukommen
Zur Dokumentation
Eine Seite für die IT-Leitung HLG: oben die Entscheidung in drei Sätzen, darunter Tabelle und Rechnung. Jede Zahl mit Rechenweg, jede Wahl mit dem Kriterium, an dem sie hängt.
Die Entscheidung ist Eingang für LA 13 und Teil des Übergabegesprächs M4.
Die Szene: Tunnel Schicht für Schicht
Jetzt mit Beschriftung: Schalte zwischen IPsec und WireGuard um und zähl mit, wie viele Byte jede Hülle kostet. Unten siehst du, was ein Mithörer im Internet lesen kann.
Ohne JavaScript siehst du die Szene nicht. Nimm die Kopflängen aus „Gegebene Werte“ und zeichne die Hüllen selbst.
Deine Aufgaben
12.1Beschreibe die Kapselung eines Kamerapakets
Jetzt bist du dran · Allein · 4 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 12.1
Beschreibe die Kapselung eines Kamerapakets:
- Zeichne ein Paket der Kamera 10.30.50.21 an die Aufzeichnung 10.10.50.10 vor dem Tunnel.
- Beschrifte, welche Hüllen der Tunnel vom Lager zum Hub darumlegt, mit äußerer Quell- und Zieladresse.
- Kennzeichne, welche Teile ein Mithörer im Internet lesen kann und welche nicht.
- Erkläre den Unterschied zwischen Tunnelmodus und Transportmodus an deiner Zeichnung.
Allein Diese Aufgabe bearbeitest du allein.
12.2Vergleiche die drei Protokollfamilien
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 12.2
Vergleiche die drei Protokollfamilien:
- Lege eine Tabelle mit den Spalten IPsec mit IKEv2, WireGuard und TLS-basiert an.
- Bewerte jede Familie nach Sicherheit, Aufwand, Durchsatz und Durchkommen durch Carrier-NAT.
- Nenne zu jeder Bewertung einen Grund aus der Fachgrundlage.
- Markiere, was für HLG den Ausschlag gibt.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
12.3Begründe den Aufbau der Tunnel durch Carrier-NAT und dynamische Adresse
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 12.3
Begründe den Aufbau der Tunnel durch Carrier-NAT und dynamische Adresse:
- Erkläre, weshalb das Hub den Tunnel zum Lager über 5G nicht aufbauen kann.
- Leite ab, welches Ende den Tunnel aufbauen und offenhalten muss, und womit.
- Erkläre, wie das Hub das Stationsbüro trotz wechselnder Adresse sicher erkennt.
- Nenne die Ports und Protokolle, die am Hub zusätzlich offen sein müssen.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
12.4Berechne die Nutzlast je Paket
Jetzt bist du dran · Allein · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 12.4
Berechne die Nutzlast je Paket:
- Berechne die TCP-Nutzlast eines vollen Pakets bei MTU 1500 ohne Tunnel.
- Berechne sie für IPsec ESP im Tunnelmodus ohne und mit NAT-Traversal, mit Auffüllen auf 4 Byte.
- Berechne sie für WireGuard über IPv4.
- Gib den Anteil der Nutzlast an der Leitung in Prozent an.
- Notiere die MTU, die du am Tunnel einstellst, und die MSS für TCP.
Allein Diese Aufgabe bearbeitest du allein.
12.5Berechne die Wirkung auf den Kamera-Upload
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 12.5
Berechne die Wirkung auf den Kamera-Upload:
- Berechne die Bruttorate auf der Leitung für 192 Mbit/s Nutzlast ohne Tunnel und durch deinen Tunnel.
- Vergleiche mit dem Richtfunk (500 Mbit/s im Upload).
- Berechne, wie viel Nutzlast durch den Tunnel über 5G (50 Mbit/s im Upload) noch passt.
- Leite ab, wie viele Kameras zu 8 Mbit/s das sind.
- Beurteile, was das für die IT-Leitung bedeutet.
Im Team Diese Aufgabe bearbeitet ihr im Team.
12.6Entscheide Protokoll und Topologie für HLG
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 12.6
Entscheide Protokoll und Topologie für HLG:
- Lege für jede Strecke das Protokoll fest.
- Wähle Stern über das Hub oder vermascht und gib die Zahl der Tunnel an.
- Begründe die Wahl mit dem Weg von Station zu Lager und mit dem Aufwand im Betrieb.
- Formuliere die Entscheidung in drei Sätzen für die IT-Leitung.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Laborvorschlag zu LA 12 (90 Minuten)
Mitschnitt mit Wireshark auf der äußeren Schnittstelle des Lager-Gateways: einmal ohne Tunnel, einmal durch einen WireGuard-Tunnel. Vergleicht Paketlängen und lesbare Felder. Wer schneller ist, schickt mit ping -M do -s 1412 und -s 1413 Pakete mit gesetztem Nicht-Zerlegen-Bit durch den Tunnel und findet so die Tunnel-MTU selbst: 1412 Byte Ping-Daten plus 8 Byte ICMP plus 20 Byte IP ergeben 1440 Byte.
Veränderter Fall
Das Lager zieht um und bekommt für sechs Wochen nur Mobilfunk. Überprüfe deine Entscheidung: Bleibt dein Protokoll tragfähig, wenn das Lager sechs Wochen nur hinter Carrier-NAT sitzt? Was ändert sich an der Overhead-Rechnung, und was sagst du der IT-Leitung zu den Kameras?