Wer in Deutschland in die IT einsteigt, hat eine Einteilung meistens schon bekommen: vier Fachrichtungen beim Fachinformatiker seit 2020, Lernfelder in der Umschulung. Beide beantworten die Frage nach dem Beruf, keine von beiden die Frage, die um 21:40 an einem Dienstag ansteht, wenn das Kundenportal der Möbelwerkstatt Ahlbrecht in Detmold keine Auftragsbestätigung mehr verschickt: Welche der sieben Schichten lügt gerade.
Die Antwort fängt unten an. Der erste Befehl, der sich lohnt, ist ip -br addr, eine Zeile pro Schnittstelle. Auf einem gemieteten Root-Server ist die Adresse fest vergeben; eine Adresse aus 169.254 heißt, dass die Konfiguration nie angewendet wurde, und alles darüber zu prüfen ist bis dahin verlorene Zeit.
Deshalb stehen hier sieben Gebiete und nicht eines. Jedes hat sein eigenes Messmittel, und keines sieht über seine Schicht hinaus: Ein Multimeter findet keinen veralteten Eintrag im Zwischenspeicher eines Resolvers, und dig +short findet kein Netzteil, das unter Last einbricht. Wer nach Berufen einteilt, hat sieben Namen; wer nach Messmitteln einteilt, eine Reihenfolge.
Fünf der sieben liegen aufeinander, IT-Sicherheit ist dieselbe Frage auf jeder Ebene
Fünf der sieben Gebiete liegen in einer festen Ordnung aufeinander: unten die Computertechnik, darüber die Betriebssysteme, darüber die Netzwerktechnik, darüber die Serveradministration, und obenauf Cloud Computing. Diese fünf sind nicht die sieben Schichten des OSI-Modells, und die Verwechslung ist der teuerste Irrtum, den eine Prüfungsvorbereitung hinterlässt.
Das OSI-Modell zerlegt einen Protokollstapel, diese Ordnung die Arbeit und die Messmittel, und nur die zweite sagt einem, was als Nächstes einzugeben ist. Wer die sieben Schichten aufsagen kann und nicht sagen kann, welches Programm auf dieser Maschine den Socket hält, hat für die Prüfung das Richtige gelernt.
IT-Sicherheit ist keine sechste Schicht, sondern dieselbe Frage auf jeder der fünf, gestellt in dem Wissen, dass die Antwort gelogen sein kann. Die Firewall, die Port 443 durchlässt, lässt alles durch, was jemand absichtlich dorthin gestellt hat, und die Kundenliste steht dort. Einem Schaubild, das nur die abgefangenen Fälle zeigt, fehlt die teure Spalte.
Die Elektronik ist das siebte Gebiet und liegt nicht auf dem Stapel: Eine Platine mit Mikrocontroller und ohne Betriebssystem wird mit einem Multimeter gefunden und nicht mit einem Protokoll.
Das Zertifikat vor der Maschine ist der teure Umweg
Die teuerste Reihenfolge in diesem Markt ist das Zertifikat vor der Maschine. Eine Umschulung auf Bildungsgutschein stellt Lehrplan, Prüfungstermin und Klasse und fast nie eine Maschine, die kaputtgehen darf. Das Vokabular besteht danach die Prüfung. Der Reflex, der um 21:41 sagt, dass jetzt ein Befehl kommt und kein Neustart, entsteht nur dort, wo ein Fehler nichts kostet.
Die zweite falsche Reihenfolge ist die Cloud vor der eigenen Maschine. Wer ein Cloud-Konto anlegt, bevor er ip route auf einem einzelnen Linux lesen kann, lernt die Oberfläche eines Anbieters, und die Oberfläche ist der Teil, der sich ändert. Eine Routing-Tabelle in der Cloud bleibt eine Routing-Tabelle, und eine Sicherheitsgruppe ist eine Firewall-Regel mit einem anderen Wort auf der Schaltfläche.
Die Planke, die am häufigsten übersprungen wird, ist die Kommandozeile, in der Annahme, sie lasse sich später nachholen. Sie lässt sich nicht nachholen: Jedes Gebiet darüber gibt seine Antwort als Text zurück, und wer Text nicht filtern kann, liest jede Antwort Bildschirm für Bildschirm.
Die Reihenfolge
Drei feste Stationen, dann eine Gabelung, die wirklich eine Wahl ist
Ohne die erste Station kostet jeder Fehler Geld, das jemand anderem gehört.
- ComputertechnikEine eigene Maschine, die kaputtgehen darfEin Bildungsgutschein bezahlt den Unterricht und stellt sie nicht01
- 02BetriebssystemeDie Kommandozeile, vor allem anderenJede Station danach antwortet in Text, und Text ist das Einzige, was sich filtern lässt
- NetzwerktechnikEin echter Ausfall, von unten nach oben geprüftEine Definition hält, bis drei davon gleichzeitig auf dem Tisch liegen03
- 04Die GabelungServer und Cloud, oder Elektronik, oder SicherheitEine Wahl statt einer Reihenfolge, und die ersten drei Stationen sind in jedem Fall dieselben
Auf dieser Strecke stehen absichtlich keine Zeitangaben. Wer jede Woche einen Ausfall vor sich hat, ist an der dritten Station lange vorbei, bevor jemand mit Lehrplan sie erreicht.
Netzwerktechnik: wo drei Fakten aufhören, drei Fakten zu sein
IP, DNS und HTTP werden als drei getrennte Fakten gelernt, und einzeln ist jeder davon geradeaus. Der Stillstand kommt beim ersten Mal, wenn alle drei gleichzeitig auf dem Tisch liegen und einer davon lügt. Er kommt mit einem Satz, den jeder wiedererkennt, der schon dort war: Die Seite läuft, von hier aus läuft sie, und der Kunde kommt trotzdem nicht drauf.
Die Prüfung fragt, was DNS ist, und die Antwort darauf ist eine Definition. Der Ausfall fragt, ob die Antwort dieser Maschine auf einen Namen dieselbe ist, die der Rest der Welt bekommt, und darauf bereitet keine Definition vor. Deshalb verdient die Netzwerkdiagnose in dieser Säule die meiste Zeit.
Was hindurchhilft, ist eine feste Prüfreihenfolge von unten nach oben, bei der jede Antwort die Schichten darunter erledigt und über die Schichten darüber nichts sagt.
Der Ausfall in Falkenstein, von unten nach oben durchgegangen
Der Server der Möbelwerkstatt steht als gemieteter Root-Server in Falkenstein, vierzehn Beschäftigte hängen an dem Portal, und an diesem Dienstag lag jede Auftragsbestätigung in der Warteschlange, während das Portal selbst antwortete. ip -br addr zeigte die feste Adresse, ip route die Standardroute, und ping -c 3 9.9.9.9 brachte drei Antworten zurück. Damit war die Leitung erledigt.
Der vierte Befehl ist der, den die meisten auslassen. resolvectl status nennt den Resolver, den diese Maschine tatsächlich fragt: auf einem systemd-System den Stub auf 127.0.0.53 statt des Eintrags, den man in einer Konfigurationsdatei erwartet. Danach trennen sich die Fragen: dig @9.9.9.9 +short mail.ahlbrecht.example gab die Adresse zurück, getent hosts mail.ahlbrecht.example gab nichts zurück.
Damit war der Fall entschieden, denn dig fragt einen Resolver, getent hosts fragt die Maschine, und das Portal fragt auf dem zweiten Weg. Der Name war am Vormittag angelegt worden, zwanzig Minuten bevor die Zone ausgeliefert wurde, und in dieser Zeit hatte ihn jemand zum ersten Mal abgefragt. Die negative Antwort lag seitdem im Zwischenspeicher. resolvectl flush-caches, und die Bestätigungen gingen raus.
Ein @ vor der Adresse ist die ganze Bewegung: Ohne ihn geht auch dig an denselben Stub und bestätigt die Lüge, die gerade gesucht wird.
Die Prüfreihenfolge
Sechs Befehle auf dem Server der Möbelwerkstatt, von unten nach oben
Vor jedem Befehl steht die Frage, was seine beiden möglichen Antworten jeweils ausschließen. Wer sie nicht beantworten kann, tippt zur Beruhigung.
- Computertechnikip -br addrEine Zeile pro Schnittstelle. Auf einem gemieteten Server steht die Adresse fest, und 169.254 heißt dort: nie angewendet.
- Betriebssystemeip routeEine fehlende Standardroute sieht aus wie ein kaputtes Internet, und das lokale Netz bleibt dabei tadellos.
- Netzwerktechnikping -c 3 9.9.9.9Trennt eine tote Leitung von einer lebenden Leitung, die nichts trägt.
- Betriebssystemeresolvectl statusNennt den Resolver, den diese Maschine wirklich fragt. Auf einem systemd-System ist das der Stub auf 127.0.0.53.
- Netzwerktechnikdig @9.9.9.9 +short mail.ahlbrecht.exampleFragt einen Resolver direkt und am Zwischenspeicher der Maschine vorbei. Das ist die Auskunft, die der Rest der Welt bekommt.
- Betriebssystemegetent hosts mail.ahlbrecht.exampleFragt die Maschine über nsswitch, so wie das Portal fragt. Weichen die beiden ab, lügt die Maschine.
Die sechs sagen nichts darüber, ob die Gegenstelle die Nachricht auch annimmt. Und jeder von ihnen antwortet in einer Sekunde, also übersteht ein Fehler, der alle zwanzig Minuten auftritt, alle sechs.
Wo die Daten liegen dürfen, entscheidet über die Maschine zum Üben
Aus Deutschland ist an dieser Säule nichts gesperrt: Kartenzahlung funktioniert, die Konsolen öffnen sich, die kostenlosen Kontingente sind echt. Die Rechnung, die dieser Leser bekommt, ist eine rechtliche. In einem deutschen Betrieb ist die Frage, wo Kundendaten liegen dürfen, schon beantwortet, bevor jemand die technische stellt: dahinter ein Verzeichnis der Verarbeitungstätigkeiten, ein Auftragsverarbeitungsvertrag nach Artikel 28 der DSGVO und ein Einkauf, der nach der Attestierung BSI C5 fragt.
Die Folge steht auf dem Schreibtisch. Die Maschine, die ein deutscher Lernender tatsächlich bekommt, ist selten ein verwalteter Dienst; sie ist ein gemieteter Root-Server bei Hetzner in Falkenstein oder Nürnberg oder ein VPS bei IONOS. Was von einer Cloud-Fähigkeit dorthin überträgt, ist das Modell: Adressen, Routen, Rechte und Regeln heißen dort anders und bedeuten dasselbe.
Das Netz darunter überträgt sich nicht. Niemand legt einen Snapshot für Sie an, niemand tauscht das Zertifikat, niemand bemerkt die volle Platte. Auf dem Server in Falkenstein gehört beides demselben Menschen, und das ist der Unterschied, den die Anbieter in ihren Vergleichstabellen nicht ausweisen.
Sechs Werkzeuge, und der Fehler, den jedes provoziert
iproute2 liefert ip und ss und hat net-tools abgelöst, das ifconfig und netstat mitbrachte. Es liegt auf jedem aktuellen Linux bereits vor und kostet nichts. Der Fehler ist, aus Gewohnheit ifconfig auf einem frischen Debian zu tippen und die Maschine für kaputt zu halten, wenn sie command not found antwortet.
systemd-resolved hat die von Hand gepflegte /etc/resolv.conf abgelöst und gehört zu systemd, ist also vorhanden und kostenlos. Der Fehler ist, diese Datei zu lesen und ihr zu glauben: Sie verweist auf den Stub, und die wirklich befragten Server nennt erst resolvectl status.
dig hat nslookup in jedem Ratschlag abgelöst, der etwas taugt, und steckt unter Debian in bind9-dnsutils und unter Fedora in bind-utils, kostenlos. Der Fehler ist der aus Falkenstein: Was dig meldet, ist die Auskunft eines Resolvers und nicht die Auskunft der Maschine.
journalctl liest das Journal von systemd und hat das Mitlesen von /var/log/messages mit tail und grep abgelöst, kostenlos und schon da. Der Fehler ist der nackte Aufruf, der jede Zeile seit dem Systemstart liefert. journalctl -u nginx -b schneidet auf einen Dienst und diesen Start zu, und die Antwort steht dann meistens im ersten Bildschirm.
Hetzner und IONOS haben für kleine deutsche Betriebe den gebrauchten Server im Abstellraum abgelöst, samt der Frage, wem er gehört. Kostenlos ist hier nichts: Hetzner Cloud rechnet stundenweise ab und deckelt beim Monatspreis, IONOS monatlich. Der Fehler ist, eine gemietete Maschine für einen verwalteten Dienst zu halten; ein Snapshot des Anbieters liegt auf derselben Infrastruktur und ist keine Sicherung.
AWS, Azure und Google Cloud haben das eigene Rechenzentrum und die Investition davor abgelöst. Alle drei halten ein kostenloses Kontingent bereit und rechnen darüber hinaus stundenweise ab, und Kartenzahlung aus Deutschland funktioniert. Der Fehler in diesem Markt ist nicht die Rechnung, sondern die Reihenfolge: erst das Konto, dann die Frage, ob die Daten dort liegen dürfen, und die kommt aus der Rechtsabteilung.
Das Signal
Vier Fragen, und zwei davon wurden Monate vorher beantwortet
Auf einem gemieteten Server gehören alle vier demselben Menschen, und zwei davon lassen sich heute nicht mehr nachholen.
- Was auf ihr lauschtDer Port, der Dienst dahinter und der Benutzer, unter dem er läuft
- Wie voll die Platte istEin Bildschirm, und die Zeile, auf die es ankommt, ist selten die erwartete
- Ob die Sicherung zurückspieltKeine Ausgabe auf der Maschine kann das sagen. Jemand muss es getan haben, absichtlich, vor Kurzem.
- Wer sich heute Nacht angemeldet hatNur, wenn die Protokolle schon vor dieser Nacht gesammelt wurden
Ohne eine der vier stimmt das Wort darüber nicht mehr
Das Bild sagt nicht, welche Säulen auf einer bestimmten Maschine stehen. Meistens ist mindestens eine Antwort weder ja noch nein, und nicht nachgesehen ist eine andere Tatsache als nein, mit anderer Arbeit daran.
Vorhersagen vor dem Befehl, und vier Fragen an die Maschine
Nach einem Monat erzeugt ein Fehler eine Liste von Dingen zum Ausprobieren. Nach drei Monaten erzeugt er eine Reihenfolge mit Vorhersagen. Die Probe dauert zehn Minuten: Nehmen Sie einen Fehler, den Sie noch nicht kannten, schreiben Sie die ersten drei Befehle auf, daneben die zwei Antworten, die jeder zurückgeben kann, und was jede ausschließt. Dann geben Sie sie ein.
Wer die Vorhersagen nicht aufschreiben kann, hat eine Liste von Dingen, die schon einmal geholfen haben, und die hält beim nächsten unbekannten Fehler nicht.
Das zweite Signal betrifft die Maschine statt den Menschen. Zwei der vier Fragen haben einen Befehl hinter sich: ss -tlnp für das, was lauscht und unter welchem Benutzer, und df -h für den Abstand zur vollen Platte. Die anderen beiden entschied Monate vorher jemand, der eine Sicherung angelegt hat, die auch zurückgespielt wurde, und Protokolle, die schon vor der fraglichen Nacht liefen. Die dritte davon steht in der Verteidigung.
Der Einstieg: welches Gebiet was in die Hand gibt
Die Computertechnik ist der sanfteste Einstieg, weil dort ein Fehler oft ohne Befehl zu sehen ist: ein Lüfter, der steht, ein Stecker, der nicht sitzt, eine Platte, die klackt. Die Betriebssysteme geben am meisten zurück, weil sie die anderen sechs billiger machen. Die Netzwerktechnik ist der Stillstand und verdient deshalb Zeit statt Aufschub.
IT-Sicherheit steht hier hinten und gehört nicht ans Ende, denn sie besteht aus den anderen sechs. Elektronik ist der Abzweig vom Stapel und das einzige Gebiet hier, in dem sich am Küchentisch ein Projekt fertig bauen lässt. Serveradministration und Cloud Computing sind dasselbe Fach mit verschiedenen Eigentümern des Fehlers, und der Unterschied zeigt sich daran, wem eine Fehlentscheidung in Rechnung gestellt wird.
Von außerhalb dieser Säule liegt die Softwareauslieferung am nächsten, dieselben Fähigkeiten bei denen, die die Software schreiben. Der KI-Einsatz trifft in einem deutschen Betrieb zuerst auf den Betriebsrat. Und die Karriereplanung beantwortet die Frage, die eine Prüfung stellt, während diese Säule die beantwortet, die die Maschine stellt.
Offen bleibt, welche Maschine die eigene wird und wo sie steht. Ein altes Notebook auf dem Schreibtisch und ein gemieteter Server in Falkenstein lehren verschiedene Hälften dieser Seite, und nur der gemietete lehrt, was passiert, wenn niemand zu ihr hinlaufen kann. Wo eine Seite tatsächlich liegt, entscheidet das Hosting.