Port 80, bitte kommen.

Lektion

Du schickst einer Kollegin eine Datei. Damit sie die Datei öffnen und benutzen kann, müssen alle Daten vollständig ankommen. Fehlt etwas, wird es erneut gesendet. Dafür darf die Übertragung etwas länger dauern. Eine halbe Datei ist so viel wert wie ein halbes Passwort.

Bei einem Telefonat über das Internet muss die Sprache rechtzeitig ankommen. Fehlen kurz Daten, hörst du vielleicht einen kleinen Aussetzer. Würde das Gespräch auf jedes fehlende Stück warten, würde die Verzögerung immer größer. Irgendwann sagst du „Gesundheit“, und dein Gegenüber hat vor vier Minuten geniest. Deshalb können verspätete Sprachdaten verworfen werden, statt sie nachträglich abzuspielen.

TCP — Transmission Control Protocol ist die Mutter unter den Protokollen: „Sag Bescheid, wenn du angekommen bist.“ Es liefert einen zuverlässigen, geordneten Bytestrom, also eine durchgehende Bytefolge in der richtigen Reihenfolge. Empfangene Daten werden bestätigt, nicht bestätigte Bytes erneut gesendet. UDP — User Datagram Protocol wirft dagegen einzelne Nachrichten über den Zaun, die Datagramme. Es baut selbst keine Verbindung auf und garantiert weder Zustellung noch Reihenfolge.

Eine Anwendung kann oberhalb von UDP eigene Zuverlässigkeit ergänzen. Ein Beispiel ist QUIC, die Transportbasis für HTTP/3. Weder TCP noch UDP verschlüsseln allein den Inhalt.

Eine UDP-Nachricht hat einen 8 Byte langen Header, also einen Kopfbereich mit Verwaltungsangaben. 120 Byte Nutzdaten plus 8 Byte UDP-Header ergeben 128 Byte. IP- und Ethernet-Header kommen zusätzlich dazu; sie gehören nicht zur UDP-Länge. Der TCP-Header ist mindestens 20 Byte lang. Zusätzliche Angaben können ihn vergrößern. Ein kleinerer Header macht nicht automatisch jede Anwendung schneller. Acht Byte Verwaltung sind kein eingebauter Turbo.

UDP hält einzelne Nachrichten getrennt. TCP liefert dagegen einen laufenden Bytestrom: Die Anwendung muss selbst erkennen, wo eine Nachricht endet. Was vollständig und in welcher Reihenfolge ankommen soll, ist eine andere Frage als die Verschlüsselung.

Kurz-Check

Du öffnest auf einem Firmenserver die Website. Gleichzeitig verwaltet ein Kollege denselben Server mit SSH, einem Dienst für geschützten Fernzugriff. Beide benutzen dieselbe Server-IP. Dein Seitenaufruf soll im Webdienst ankommen, nicht im Terminal des Kollegen. Der hat schon genug Tabs offen. Dafür gibt es Ports: Nummern, mit denen ein Rechner eingehende Daten dem richtigen Dienst oder Programm zuordnet. Die IP-Adresse ist das Haus, der Port die Klingel.

Der Client ist hier das Programm, das die Verbindung beginnt. Es wählt gewöhnlich einen freien Quellport und sendet an den Zielport des Servers. Die IP-Adresse und die Portnummer zusammen beschreiben einen Endpunkt. An derselben Klingel können viele Clients gleichzeitig läuten. Die Verbindungen bleiben unterscheidbar, weil jede aus zwei Endpunkten besteht. TCP und UDP haben jeweils eigene Portnummern von 0 bis 65535. TCP-Port 53 und UDP-Port 53 haben also dieselbe Nummer, sind aber zwei verschiedene Ports. Wie zwei Nachbarn, die beide Uwe heißen. Port 0 ist reserviert.

Die IANA — Internet Assigned Numbers Authority verwaltet die Registrierung von Dienstnamen und Ports. System Ports liegen bei 0–1023, User Ports bei 1024–49151 und Dynamic/Private Ports bei 49152–65535. Betriebssysteme können einen anderen Bereich für automatisch vergebene Client-Ports einstellen.

Standardports sind Vereinbarungen. Auf Port 443 erwartet man gewöhnlich HTTPS. Ein Administrator kann dort aber auch etwas anderes betreiben. 443 am Port und „sicher“ im Kopf? Erst prüfen. Eine Nummer ist keine Sicherheitsabnahme.

Kurz-Check

Dein Browser möchte eine TCP-Verbindung zu einem Webserver öffnen. Bevor Nutzdaten übertragen werden, stimmen die beiden Seiten ihre Startnummern ab. Dieser Aufbau heißt Handshake. Er hat gewöhnlich drei Schritte: Client sendet SYN, Server antwortet SYN-ACK, Client bestätigt mit ACK. Drei Nachrichten, bevor die eigentliche Arbeit beginnt. Immer noch weniger Aufwand als die Terminfindung fürs Kick-off.

SYN steht für Synchronisieren, ACK für Bestätigen. Solche Kennzeichen im TCP-Header heißen Flags. Die Sequenznummer sagt bei einem Datensegment, welche Nummer sein erstes Byte hat. Die ACK-Nummer sagt, welches Byte der Empfänger als Nächstes erwartet.

SYN und FIN zählen jeweils eine Sequenznummer weiter. FIN bedeutet: Von dieser Seite kommen keine weiteren Daten. Ein reines ACK ohne Daten zählt keine Sequenznummer weiter. Beide Seiten können ihre Senderichtung getrennt schließen. „Ich bin fertig“ heißt hier noch nicht „du musst jetzt auch aufhören“.

Beim normalen Abbau sendet A ein FIN. B bestätigt es mit ACK und darf in seiner Richtung noch Daten schicken. Ist B ebenfalls fertig, sendet B sein FIN; A bestätigt es. FIN und ACK können zusammen in einem Paket stehen. Deshalb bedeutet Verbindungsabbau nicht zwingend genau vier Pakete. Die Vier ist ein typischer Ablauf, kein Kündigungsformular mit Pflichtseitenzahl.

RST — Reset setzt eine Verbindung zurück beziehungsweise weist einen Verbindungsversuch ab. Bleiben Bestätigungen aus, kann TCP Daten erneut senden. Das heißt Retransmission. Die Sequenznummer ist 32 Bit breit. Am Ende ihres Zahlenbereichs beginnt sie wieder von vorn. Diesen Überlauf lassen die Rechenaufgaben hier bewusst weg.

Kurz-Check

Du schließt einen neuen Büro-PC an. Er braucht eine passende IPv4-Adresse, die Subnetzmaske und oft auch Gateway und DNS-Server. Du könntest alles von Hand eintragen. Bei hundert PCs wird aus „kurz eintragen“ ein Arbeitstag. Mit Tippfehlern als kostenlosem Zusatzprogramm.

DHCP — Dynamic Host Configuration Protocol verteilt diese Einstellungen automatisch. Eine zugeteilte Adresse gilt nur für eine bestimmte Zeit. Diese zeitlich begrenzte Zuteilung heißt Lease. Die Adresse ist geliehen. Der Client hat sie nicht auf Kleinanzeigen gekauft.

Die erste erfolgreiche Vergabe merkst du dir mit DORA:
Discover: Der Client sucht einen Server. „Hallo? Ist hier ein DHCP-Server? Ich bin neu und habe NICHTS.“
Offer: Ein Server bietet Einstellungen an. „Ich hätte da eine Adresse. Kaum gefahren.“
Request: Der Client fordert das gewählte Angebot an. „Die nehm ich.“
ACK: Der Server bestätigt die Zuteilung. „Gehört dir. Also vorübergehend.“ ACK steht für Acknowledgement, also Bestätigung.
DHCPv4 benutzt UDP-Port 67 am Server und 68 am Client.

Der Client versucht sein Lease rechtzeitig zu verlängern. Bei den üblichen Standardwerten beginnt er nach 50 % der Zeit mit T1. Er fragt zunächst den bisherigen Server direkt per Unicast, also gezielt einen Empfänger. Antwortet der nicht, beginnt bei 87,5 % T2. Der Client fragt jetzt per Broadcast auch andere Server im lokalen Netz. Das heißt Rebinding. Der Server kann andere Timer vorgeben; die Aufgaben nennen ihre Vorgaben ausdrücklich.

Nach Ablauf des Lease darf der Client die Adresse nicht weiter benutzen. Windows kann bei fehlender DHCP-Zuteilung eine Ersatzadresse aus 169.254.0.0/16 einrichten. Das heißt APIPA — Automatic Private IP Addressing. Eine Adresse steht da. Internetzugang gibt es dafür noch nicht. Das ist ungefähr der Moment, in dem „hat doch eine IP“ als Diagnose ausgedient hat.

Ein DHCP-Relay vermittelt DHCP-Nachrichten zwischen Client-Subnetz und entferntem Server. Der Server braucht einen passenden Adressbereich für dieses Subnetz. DHCP prüft nicht zuverlässig, ob ein Server wirklich zum Betrieb gehört. Ein fremder Server kann deshalb falsche Einstellungen verteilen. „Hat geantwortet“ heißt eben nicht „darf das“. Sonst dürfte auch der lauteste Kollege das Gateway festlegen.

Kurz-Check

Du gibst portal.example im Browser ein. Für die Verbindung braucht der Rechner die passende IP-Adresse. DNS — Domain Name System liefert solche Namensinformationen. Du merkst dir den Namen. DNS liefert die passende Auskunft. Niemand möchte „Geh mal auf 192.0.2.37“ als Firmenwerbung hören.

Der Resolver nimmt die DNS-Anfrage entgegen und beschafft die Antwort. Ein autoritativer Nameserver liefert die maßgeblichen Daten für seinen Zuständigkeitsbereich. Dieser verwaltete Teil des Namensraums heißt Zone.

Ein Record ist ein DNS-Eintrag. Sein Typ sagt, welche Information darin steckt: A für IPv4, AAAA für IPv6, CNAME für einen anderen Namen als Aliasziel. MX nennt Mailserver, PTR dient der Suche nach einem Namen zu einer IP. NS nennt zuständige Nameserver, SOA enthält Verwaltungsdaten der Zone und TXT speichert Textinformationen.

DNS-Antworten werden oft zwischengespeichert. Diese Ablage heißt Cache. Die TTL — Time to Live gibt an, wie lange ein Eintrag dort gültig bleibt. Von 300 Sekunden bleiben nach 120 Sekunden noch 180 Sekunden. Nach einer Änderung können deshalb noch alte Antworten auftauchen. Du änderst den Eintrag, rufst die Seite auf und bekommst die alte Adresse. Du prüfst die Einstellung. Stimmt. Du lädst neu. Alte Adresse. Du verdächtigst den Provider, das Internet und zuletzt Uwe. Dabei hat der Client den alten Eintrag nur noch gespeichert. „Hab ich gespeichert“ und „ist überall angekommen“ sind zwei verschiedene Erfolge.

Ein rekursiver Resolver beschafft bei Bedarf die Antwort über weitere Server. Eine iterative Auskunft kann stattdessen auf den nächsten zuständigen Server verweisen. Der Fragende muss dann dort weiterfragen.

Klassisches DNS nutzt UDP und TCP auf Port 53. Ist eine UDP-Antwort zu groß und als abgeschnitten markiert, kann der Client sie über TCP erneut abfragen. Ein vollständiger Zonentransfer namens AXFR läuft über TCP. Verschlüsselte Verfahren wie DNS over HTTPS sind eigene Varianten.

NXDOMAIN heißt: Der Name existiert laut Antwort nicht. SERVFAIL heißt: Die Bearbeitung ist fehlgeschlagen. Ein Timeout heißt: Es kam nicht rechtzeitig eine Antwort. Drei Fehlerbilder, drei verschiedene Aussagen. „DNS kaputt“ ist die Überschrift des Tickets, noch nicht die Diagnose.

Kurz-Check

Zwei Firmenlaptops öffnen gleichzeitig dieselbe Website. Beide benutzen nach außen die öffentliche IPv4-Adresse des Routers. Der Router muss sich deshalb merken, welche Antwort zu welchem Laptop gehört. Eine Antwort einfach an alle Laptops zu verteilen wäre bequem. Für die Buchhaltung allerdings etwas zu gesellig.

NAT — Network Address Translation übersetzt IP-Adressen. PAT — Port Address Translation, auch NAPT genannt, übersetzt zusätzlich Ports. So können mehrere interne Verbindungen dieselbe öffentliche Adresse benutzen.

Eine Tabelle merkt sich die Zuordnung: interner Endpunkt auf der einen Seite, öffentlicher Endpunkt auf der anderen. Ein Endpunkt besteht hier aus IP-Adresse und Port. Die Übungen geben dir die passende Tabellenzeile vor. Bei einer Antwort liest du daraus das interne Ziel ab.

Statisches NAT ordnet einer Adresse dauerhaft eine andere zu. Dynamisches NAT wählt bei Bedarf eine Adresse aus einem Vorrat. Eine Portweiterleitung ordnet ein öffentliches Ziel einem internen Dienst zu: beispielsweise TCP-Port 8443 außen auf 192.168.10.50:443 innen.

Ob ein Paket erlaubt ist, entscheidet zusätzlich die Firewall. NAT ändert Adressen und gegebenenfalls Ports, verschlüsselt aber keinen Inhalt. Eine andere Adresse macht den Inhalt nicht geheim. Ein umadressierter Klartextbrief bleibt ein Klartextbrief.

In echten Routern können auch Transportprotokoll, Gegenstelle und Verbindungszustand zur Zuordnung gehören. In diesen Aufgaben steht ausdrücklich dabei, welche Tabellenzeile zur Antwort passt.

Kurz-Check

Dein PC will Daten an einen anderen Rechner schicken. Die IPv4-Adresse kennt er schon. Auf dem lokalen Ethernet-Link braucht er aber auch die MAC-Adresse der empfangenden Netzwerkschnittstelle. MAC steht für Media Access Control. Mit dieser Adresse wird der Ethernet-Rahmen auf dem lokalen Link zugestellt.

ARP — Address Resolution Protocol fragt nach der MAC zu einer lokalen IPv4-Adresse. Zuerst entscheidet der PC anhand seiner Route, wohin das Paket als Nächstes muss: zum Ziel im eigenen Subnetz oder zu einem Router.

Liegt das Ziel im eigenen Subnetz, sucht ARP dessen MAC. Liegt es in einem entfernten Netz, sucht ARP die MAC des nächsten Hops, also des nächsten zuständigen Routers. Oft ist das das Standardgateway. ARP fragt nicht quer durchs Internet nach der Server-MAC. Für die Server-MAC am anderen Ende der Welt ist die lokale ARP-Runde nicht zuständig. Der Router übernimmt den nächsten Abschnitt.

Die gewöhnliche ARP-Anfrage geht an die Broadcast-MAC FF:FF:FF:FF:FF:FF: Alle Geräte im lokalen Ethernet-LAN können sie empfangen. Das gesuchte Gerät antwortet normalerweise direkt an den Fragenden, also per Unicast. Ein ARP-Cache merkt sich die Zuordnung eine Zeit lang.

Sonderfälle heißen zum Beispiel Gratuitous ARP oder Proxy-ARP. Sie ändern einzelne Abläufe; die Aufgaben schließen sie ausdrücklich aus. IPv6 verwendet statt ARP Neighbor Discovery, die Nachbarsuche über ICMPv6.

Beim Weiterleiten auf einen neuen Ethernet-Link baut ein Router einen neuen Rahmen. Er setzt seine Ausgangs-MAC und die MAC des nächsten Hops ein. Ohne NAT bleibt das endgültige IP-Ziel gleich. Eine empfangene ARP-Antwort ist keine sicher bestätigte Identität: „Das ist meine IP“ ist bei ARP eine Behauptung, kein Ausweis. Genau deshalb können gefälschte Antworten zum Problem werden.

Kurz-Check

Eine Website lädt nicht. Du sendest einen Ping und bekommst eine Antwort. Gut: Ein Gerät antwortet auf diesen Test. Ob der Webserver funktioniert, weißt du damit noch nicht. „Ping geht“ und „Website geht“ sind zwei verschiedene Aussagen. Die zweite wird nicht wahr, nur weil man die erste lauter sagt.

ICMP — Internet Control Message Protocol übermittelt Kontroll- und Fehlermeldungen zu IP. Ein gewöhnlicher Ping sendet Echo Request, also eine Echo-Anfrage. Die passende Antwort heißt Echo Reply.

ICMP benutzt keine TCP- oder UDP-Ports. Seine Meldungen haben einen Typ und einen Code, die Art und Einzelheiten der Meldung angeben. Bleibt eine Echo-Antwort aus, kann der Host ausgefallen sein. Echo-Verkehr kann aber auch gefiltert oder begrenzt werden. Teste deshalb zusätzlich den Dienst, den du wirklich brauchst.

Die IPv4-TTL — Time to Live begrenzt die Weiterleitungen eines Pakets. Jeder weiterleitende Router vermindert sie um eins. Würde sie dabei auf null fallen, verwirft er das Paket und meldet typischerweise Time Exceeded: Die erlaubte Strecke ist aufgebraucht.

Traceroute sendet Testpakete mit schrittweise steigender TTL. Die Antworten machen Zwischenrouter sichtbar. Je nach Werkzeug werden UDP-, ICMP- oder TCP-Testpakete verwendet. Sternchen zeigen fehlende Antworten an; sie beweisen allein noch keine Unterbrechung des Weges.

Destination Unreachable meldet, dass ein Ziel oder zum Beispiel ein UDP-Port nicht erreichbar ist. Die Einzelheiten stehen im Code der Meldung. ICMPv6 übernimmt außerdem wichtige IPv6-Aufgaben wie die Nachbarsuche. ICMP pauschal zu blockieren kann deshalb Netzfunktionen kaputtmachen. Alle ICMP-Meldungen blockiert, endlich Ruhe im Mitschnitt. Die kaputten Netzfunktionen melden sich dann telefonisch.

Kurz-Check

Du öffnest eine Seite und siehst „404“. Ärgerlich, aber der Webserver hat geantwortet. Das ist eine andere Lage als „keine Verbindung“. Der Router kann für einen fehlenden Seitenpfad nichts. Lass ihm ausnahmsweise seinen Strom.

HTTP — Hypertext Transfer Protocol legt fest, wie Webanfragen und Antworten aufgebaut sind. Eine Methode beschreibt die gewünschte Aktion: GET liest Daten. PUT erstellt oder ersetzt die Daten unter der angegebenen URL vollständig. DELETE fordert deren Entfernung an. POST übergibt Daten zur Verarbeitung. Die Anwendung entscheidet, was sie erlaubt.

Der Statuscode beschreibt das Ergebnis: 200 heißt erfolgreich, 301 dauerhaft umgeleitet, 403 Zugriff verweigert, 404 Ressource nicht gefunden und 500 interner Serverfehler. Ressource meint hier zum Beispiel eine Seite oder einen Datensatz. 1xx sind Zwischenmeldungen, 2xx Erfolg, 3xx Umleitungen, 4xx Fehler zur Anfrage und 5xx Serverfehler.

HTTPS schützt HTTP mit TLS — Transport Layer Security. TLS verschlüsselt die Übertragung und schützt sie gegen unbemerkte Veränderung. Der Browser prüft dabei normalerweise das Serverzertifikat und den aufgerufenen Namen. Integrität heißt hier: Veränderungen sollen erkannt werden.

Ein gültiges Zertifikat beweist keine ehrlichen Inhalte. Auch eine Betrugsseite kann eine korrekt geschützte Verbindung anbieten. Verschlüsselter Mist bleibt Mist. Das Schloss im Browser prüft keine Rückgabebedingungen und keinen gesunden Menschenverstand.

HTTP/1.1 und HTTP/2 über HTTPS laufen über TCP, normalerweise mit Zielport 443. HTTP/3 benutzt QUIC über UDP, gewöhnlich ebenfalls Port 443. HTTP ohne TLS verwendet standardmäßig TCP 80. Eine ausdrücklich in der URL genannte Portnummer ersetzt den Standardport.

Kurz-Check

Eine Mail schreiben, eine Mail lesen und einen Server fernsteuern sind verschiedene Aufgaben. Deshalb gibt es dafür verschiedene Protokolle. Alles auf Port 80 legen wäre schön übersichtlich. Die Mail würde davon trotzdem nicht zum Webserver gehören.

SMTP — Simple Mail Transfer Protocol versendet Mails. IMAP — Internet Message Access Protocol greift auf Postfächer auf dem Server zu und hält zum Beispiel Ordner und Lesestatus aktuell. POP3 — Post Office Protocol Version 3 holt Nachrichten ab. Ob dabei Serverkopien gelöscht werden, hängt von der Einstellung ab.

Zwischen Mailservern ist SMTP auf TCP 25 üblich. Ein Mailprogramm liefert neue Nachrichten meist über Submission ein: Port 587 mit STARTTLS oder 465 mit implizitem TLS. STARTTLS schaltet eine zunächst unverschlüsselt begonnene Protokollverbindung nach Vereinbarung auf TLS um. Bei implizitem TLS beginnt die Verbindung direkt mit TLS. IMAP verwendet standardmäßig 143 oder mit implizitem TLS 993. Bei POP3 sind es 110 beziehungsweise 995.

FTP — File Transfer Protocol verwendet TCP 21 für die Steuerbefehle. Dateien laufen über eine zusätzliche Datenverbindung. Beim aktiven FTP eröffnet der Server diese Verbindung zum angekündigten Client-Port, klassisch von Server-Port 20. Beim passiven FTP verbindet sich der Client zum angekündigten Server-Datenport. Nur Port 21 freizugeben reicht deshalb nicht für jeden FTP-Betrieb.

SSH — Secure Shell bietet geschützten Terminalzugriff, gewöhnlich auf TCP 22. Der Host-Schlüssel hilft, die Gegenstelle zu erkennen, und muss geprüft werden. Ungeschütztes Telnet auf TCP 23 überträgt auch Anmeldedaten im Klartext. Im passenden Mitschnitt ist das Passwort lesbar. Das Passwort läuft dabei praktisch nackt durchs Netz. Ein anderer Port zieht ihm nichts an. Für geschützten Fernzugriff nimmst du korrekt eingerichtetes SSH.

SFTP — SSH File Transfer Protocol überträgt Dateien über SSH, gewöhnlich ebenfalls auf TCP 22. FTPS ist dagegen FTP mit TLS und benutzt weiterhin getrennte Steuer- und Datenkanäle. Ein vertauschtes S reicht für ein anderes Protokoll. Die Firewall liest leider genauer als wir beim ersten Kaffee.

NTP — Network Time Protocol gleicht die Uhrzeit ab, gewöhnlich über UDP 123. Ein DNS-MX-Eintrag nennt einen Mailservernamen. Er enthält weder eine Postfachadresse noch dessen Portnummer.

Kurz-Check