Hier planst du, wie die Firewall Adressen und Ports an den Grenzen von Hub, Station und Lager übersetzt, und weist es Paket für Paket nach.
Sprint 2Brückenstufe 2
Eure Story: Als IT-Leitung HLG will ich, dass die Welt track.hlg.example findet und jeder Standort ins Netz kommt, damit Kunden ihre Sendung rund um die Uhr sehen.
Input · Adressen übersetzen. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 1, 2, 3 und 7.
Du wertest drei Mitschnitte aus, rechnest die PAT-Kapazität, entwirfst die Übersetzungstabelle und richtest NAT und PAT im Labor ein.
0 von 7 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ausgehend ersetzt PAT die Quelle, eingehend ersetzt die Portweiterleitung das Ziel. Wer beides im Mitschnitt vor und nach dem Router zeigen kann, hat NAT verstanden.
Am Ende hast du: eine Übersetzungstabelle für alle drei Standorte und einen ausgewerteten Mitschnitt, in dem jedes Paket vor und nach dem Router einem Eintrag zugeordnet ist.
Karte „Adressen und Routing kompakt“: Was du aus dem Netzaufbau brauchst, auf einer Seite: Adressen, Subnetze, Routing, die drei Standorte. Die Karte steht im Wissensspeicher.
Erst du, dann die anderen
Die IT-Leitung fragt: „Wie bekommt ein Kunde aus dem Internet die Sendungsverfolgung zu sehen, wenn der Server eine Adresse hat, die im Internet niemand kennt?“ Wie würdest du vorgehen?
So gehen andere vor. Such dir einen Weg aus.
- Portweiterleitung auf den Verteiler. Eine öffentliche Adresse, Port 443 wird an 172.16.10.10 weitergereicht. Sparsam mit Adressen und übersichtlich. Der Preis: Jeder weitere Dienst auf Port 443 braucht eine andere Adresse oder einen Verteiler, der nach Namen unterscheidet.
- Statisches NAT 1:1 für den Verteiler. Eine öffentliche Adresse gehört ganz dem Verteiler, alle Ports. Einfach zu verstehen, und ausgehende Verbindungen des Verteilers tragen dieselbe Adresse. Der Preis: Die Firewall muss jeden Port, der nicht gebraucht wird, eigens sperren, und eine der zwölf Dienstadressen ist fest vergeben.
- Öffentliche Adressen direkt in die DMZ. Das /28 wird geteilt, der Verteiler bekommt selbst eine öffentliche Adresse, keine Übersetzung. Mitschnitte sind einfacher. Der Preis: Neue Netzplanung, und das kleine /28 wird noch kleiner. Mit IPv6 ist das der Normalfall.
Es gibt hier nicht den einen richtigen Weg. Die Referenzlösung nimmt Weg 1 für die Sendungsverfolgung und Weg 2 für das Mail-Relay. In Aufgabe 3.6 entscheidet ihr über IPv6.
Gegebene Werte: Adressen, Ports, Bedarf · aufklappen, wenn du sie brauchst
Gegebene Werte: Adressen, Ports, Bedarf
- Öffentlich Hub
- 203.0.113.0/28, nutzbar .1 bis .14; .1 Gateway Anbieter, .2 Firewall außen, .3 bis .14 Dienste
- DMZ
- Verteiler 172.16.10.10, web1 .11, web2 .12, Mail-Relay .20, Telefonie-Grenze .30, Proxy .40
- Station
- dynamisch, Beispiel 198.51.100.77
- Lager
- Richtfunk 198.51.100.20; 5G hinter Carrier-NAT
- Ports
- 16 Bit, 0 bis 65535; 0 bis 1023 für Dienste reserviert, für PAT nicht vergeben
- Haltezeit nach Verbindungsende (Unterrichtswert)
- 120 s, so lange bleibt ein Port gesperrt
- Gleichzeitige Verbindungen (Unterrichtswert)
- 60 je Büroplatz, 4 je Handscanner, Reserve 1,5
- Plätze
- Hub 120 Büro, 60 Scanner; Station 25 Büro; Lager 40 Büro, 20 Scanner
Die 60 Verbindungen je Platz sind ein Unterrichtswert: Ein Browser mit mehreren Reitern, Mail, Updates und Telefonie-Anmeldung hält schnell einige Dutzend Verbindungen offen. Miss ihn im Labor an deinem eigenen Rechner nach.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Übersetzungstabelle mit ausgewertetem Mitschnitt
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- der Übersetzungstabelle für Hub, Station und Lager: Richtung, innen, außen, Art, Portbereich, Grund
- der PAT-Rechnung: Ports je Adresse, Bedarf je Standort, Auslastung, Portblöcke
- dem ausgewerteten Mitschnitt aus dem Labor: je Paket Quelle und Ziel vor und nach dem Router, zugeordneter Eintrag
- der Diagnose des Fehlerbilds aus Mitschnitt C und eurer Entscheidung dazu
Zur Dokumentation
Eine Tabelle, eine Rechnung, ein Mitschnitt mit zwei Messpunkten (innen und außen). Jede Zeile der Tabelle hat einen Grund. Was keinen Grund hat, kommt nicht hinein.
Die Übersetzungstabelle wird in Teil 4 zur Grundlage der Filtertabelle und geht in Meilenstein M2 ein.
Die Szene: die volle Paketreise
Jetzt sind die Adressfelder sichtbar: Adressen und Ports vor und nach jeder Übersetzung und die DNS-Kette davor. Vergleiche mit deiner Vermutung aus dem Auftrag.
Die Szene lädt. Ohne JavaScript nutzt du die Mitschnitte A bis C unten, sie zeigen dieselben Pakete.
Die Übersetzungstabelle der Referenzanlage
So sieht eine fertige Tabelle aus. In Aufgabe 3.4 baust du deine eigene und darfst abweichen, wenn du es begründest.
| Nr. | Standort | Richtung | innen (Adresse:Port) | außen (Adresse:Port) | Art | Grund |
|---|---|---|---|---|---|---|
| 1 | Hub | eingehend | 172.16.10.10:443 TCP | 203.0.113.3:443 TCP | Portweiterleitung | Sendungsverfolgung, Verteiler |
| 2 | Hub | eingehend | 172.16.10.10:80 TCP | 203.0.113.3:80 TCP | Portweiterleitung | leitet auf https um |
| 3 | Hub | beide | 172.16.10.20 | 203.0.113.4 | statisch 1:1 | Mail-Relay, Absender passt zu MX und SPF |
| 4 | Hub | eingehend | 172.16.10.30:5061 TCP | 203.0.113.5:5061 TCP | Portweiterleitung | Telefonie-Grenze, Teil 3 |
| 5 | Hub | eingehend | Firewall selbst | 203.0.113.2:500, 4500 UDP | keine Übersetzung | VPN-Ende, Teil 6 |
| 6 | Hub | ausgehend | 10.10.0.0/16, Proxy 172.16.10.40 | 203.0.113.7:1024 bis 40959 | PAT | Büro, Scanner, Server, Proxy |
| 7 | Station | ausgehend | 10.20.0.0/16 | dynamisch, z. B. 198.51.100.77:1024 bis 65535 | PAT | eigener Ausgang über Kupfer |
| 8 | Lager | ausgehend | 10.30.0.0/16 | 198.51.100.20:1024 bis 65535 | PAT | eigener Ausgang über Richtfunk |
| 9 | Station | ausgehend über Hub | 10.20.0.0/16 | 203.0.113.7:40960 bis 49151 | PAT, Portblock | reserviert für Teil 6 und Notfall |
| 10 | Lager | ausgehend über Hub | 10.30.0.0/16 | 203.0.113.7:49152 bis 65535 | PAT, Portblock | reserviert für Teil 6 und Notfall |
Mitschnitt A: Büro-PCs im Hub gehen ins Internet
Gemessen an zwei Stellen: innen am Büro-Netz, außen zwischen Firewall und Anbieter. Zusammengehörige Pakete tragen dieselbe Nummer.
| Nr. | Messpunkt | Quelle (Adresse:Port) | Ziel (Adresse:Port) | Protokoll | Info |
|---|---|---|---|---|---|
| A1 | innen | 10.10.10.25:51514 | 192.0.2.80:443 | TCP | SYN |
| A1 | außen | 203.0.113.7:20517 | 192.0.2.80:443 | TCP | SYN |
| A2 | außen | 192.0.2.80:443 | 203.0.113.7:20517 | TCP | SYN, ACK |
| A2 | innen | 192.0.2.80:443 | 10.10.10.25:51514 | TCP | SYN, ACK |
| A3 | innen | 10.10.10.26:51514 | 192.0.2.80:443 | TCP | SYN, zweiter PC |
| A3 | außen | 203.0.113.7:20518 | 192.0.2.80:443 | TCP | SYN |
| A4 | innen | 10.10.40.53:33110 | 192.0.2.53:53 | UDP | DNS-Abfrage des Resolvers |
| A4 | außen | 203.0.113.7:20519 | 192.0.2.53:53 | UDP | DNS-Abfrage |
Mitschnitt B: Ein Kunde ruft die Sendungsverfolgung auf
| Nr. | Messpunkt | Quelle (Adresse:Port) | Ziel (Adresse:Port) | Protokoll | Info |
|---|---|---|---|---|---|
| B1 | außen | 198.51.100.200:61022 | 203.0.113.3:443 | TCP | SYN, Kunde |
| B1 | DMZ | 198.51.100.200:61022 | 172.16.10.10:443 | TCP | SYN |
| B2 | DMZ | 172.16.10.10:443 | 198.51.100.200:61022 | TCP | SYN, ACK |
| B2 | außen | 203.0.113.3:443 | 198.51.100.200:61022 | TCP | SYN, ACK |
Mitschnitt C: Ein Büro-PC ruft die Sendungsverfolgung über ihre öffentliche Adresse auf
| Nr. | Messpunkt | Quelle (Adresse:Port) | Ziel (Adresse:Port) | Protokoll | Info |
|---|---|---|---|---|---|
| C1 | innen | 10.10.10.30:52200 | 203.0.113.3:443 | TCP | SYN |
| C2 | innen | 10.10.10.30:52200 | 203.0.113.3:443 | TCP | SYN, Wiederholung nach 1 s |
| C3 | innen | 10.10.10.30:52200 | 203.0.113.3:443 | TCP | SYN, Wiederholung nach 3 s |
| DMZ | nichts | kein Paket am Verteiler |
Deine Aufgaben
3.1Ordne die Adressen der Anlage zu
Jetzt bist du dran · Allein · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 3.1
Ordne die Adressen der Anlage zu:
- Ordne zu: 10.20.4.9, 172.16.10.20, 203.0.113.3, 100.64.23.17, 198.51.100.20, 192.168.178.1 und 2001:db8:5a1:10::10 als privat, geteilt oder öffentlich (im Kurs Dokumentation).
- Kennzeichne: welche davon im Internet geroutet würden, wenn es keine Dokumentationsadressen wären.
- Begründe: weshalb 172.16.10.0/24 privat ist, 172.32.0.1 aber nicht.
Allein Diese Aufgabe bearbeitest du allein.
3.2Werte Mitschnitt A aus
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 3.2
Werte Mitschnitt A aus:
- Markiere: in jedem Paketpaar die Felder, die sich zwischen innen und außen ändern.
- Leite ab: die Einträge der Übersetzungstabelle, die die Firewall angelegt hat.
- Erkläre: wie die Firewall die Antwort A2 dem richtigen PC zuordnet.
- Begründe: weshalb A3 trotz gleichem Quellport wie A1 keinen Konflikt erzeugt.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
3.3Berechne, wie viele gleichzeitige Verbindungen PAT auf einer Adresse schafft
Jetzt seid ihr dran · Zu zweit · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 3.3
Berechne, wie viele gleichzeitige Verbindungen PAT auf einer Adresse schafft:
- Berechne: die Zahl der Ports, die PAT auf einer Adresse je Protokoll vergeben kann, mit Begründung für den Portbereich.
- Berechne: den Bedarf an gleichzeitigen Verbindungen je Standort mit Reserve.
- Berechne: die Auslastung der Adresse 203.0.113.7 durch das Hub in Prozent.
- Berechne: wie viele neue Verbindungen je Sekunde eine Adresse dauerhaft trägt, wenn jeder Port nach dem Ende 120 s gesperrt bleibt.
- Prüfe: ob die Portblöcke der Referenztabelle (Zeilen 6, 9, 10) für jeden Standort reichen.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
3.4Entwirf die Übersetzungstabelle für alle drei Standorte
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 3.4
Entwirf die Übersetzungstabelle für alle drei Standorte:
- Lege fest: welche Dienstadresse des Hub welchen Dienst trägt.
- Entwirf: eingehende Einträge mit Portweiterleitung 443 auf den Verteiler und den übrigen Diensten, die von außen erreichbar sein müssen.
- Entwirf: die PAT-Einträge je Standort mit Portbereich.
- Begründe: jeden Eintrag in einem Satz, besonders das 1:1 für das Mail-Relay.
- Streiche: jeden Eintrag, für den du keinen Grund findest.
Im Team Diese Aufgabe bearbeitet ihr im Team.
3.5Richte NAT und PAT im Labor ein und weise sie am Mitschnitt nach
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 1 und 3Öffnen ▾Schließen ▴
Aufgabe 3.5
Richte NAT und PAT im Labor ein und weise sie am Mitschnitt nach:
- Baue: in Packet Tracer Hub-Netz, DMZ, Firewall oder Router und einen Kunden außen nach der Referenzanlage.
- Richte ein: PAT für 10.10.0.0/16 auf 203.0.113.7 und die Portweiterleitung 443 auf 172.16.10.10.
- Schneide mit: an zwei Messpunkten, innen und außen, einen Seitenaufruf nach außen und einen Kundenaufruf nach innen.
- Ordne zu: jedes Paket der Übersetzungstabelle des Routers.
- Dokumentiere: die Konfiguration und den Mitschnitt so, dass der Betrieb ihn nachstellen kann.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Laborvorschlag (zweimal 90 Minuten)
Packet Tracer: ein Router als Grenze mit innen, DMZ und außen, ein Server im Netz 192.0.2.0/24 als „Internet“, ein PC als Kunde in 198.51.100.0/24. Im Simulationsmodus siehst du jedes Paket vor und nach dem Router. Die Übersetzungstabelle des Routers liest du mit dem Befehl zur Anzeige der NAT-Übersetzungen ab.
Wireshark: Wer echte Pakete sehen will, baut dasselbe mit OPNsense als Laborfirewall in zwei VMs und schneidet mit Wireshark auf beiden Seiten mit. Filter etwa tcp.port == 443. Die Oberfläche von OPNsense zeigt die Weiterleitungen als Tabelle, die du mit deiner vergleichst.
3.6Entscheide, wie interne Zugriffe und IPv6 behandelt werden
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 1 und 7Öffnen ▾Schließen ▴
Aufgabe 3.6
Entscheide, wie interne Zugriffe und IPv6 behandelt werden:
- Erkläre: anhand von Mitschnitt C, weshalb der Büro-PC keine Antwort bekommt.
- Vergleiche: NAT-Reflexion an der Firewall und Split-DNS als Lösung.
- Beurteile: ob die Sendungsverfolgung zusätzlich über IPv6 2001:db8:5a1:10::10 ohne Übersetzung erreichbar sein soll.
- Entscheide: begründet für HLG und nenne die Folge für Lernangebot 4.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Stufen: 3.1 und 3.2 sind Abfolge (Stufe I), 3.3 bis 3.5 Algorithmus mit Auswahl (Stufe II), 3.6 ist eine offene Entscheidung (Stufe III).
Veränderter Fall
Das Stationsbüro bekommt vom Anbieter keine eigene öffentliche Adresse mehr, nur noch eine geteilte hinter Carrier-NAT: Der Router in der Station erhält 100.64.23.17, nach außen erscheint 192.0.2.200, und der Anbieter teilt der Station einen Block von 2.048 Ports zu (Unterrichtswert). Prüfe: Was ändert sich in deiner Übersetzungstabelle? Berechne, ob der Portblock reicht. Leite einen Ersatzweg ab.