Im Architekturbüro Nowak in Cottbus hängt der Plotter an einem kleinen Rechner im Nebenraum, und der ist von den beiden Arbeitsplätzen im Büro nicht mehr erreichbar. Vom Notebook im Besprechungsraum schon. Alle drei Geräte kommen ins Internet, alle drei haben eine Adresse, und dem Bürokaufmann, der anruft, wurde gesagt, das Netz sei ausgefallen. Ausgefallen ist es sichtbar nicht.
Genau dieser Fehler beendet die meisten Netzwerkkarrieren, und zwar aus einem Grund: Adresse, Name und Weg sind als drei getrennte Tatsachen gelernt worden, und eine echte Störung ist die Frage, welche der drei gerade lügt. Was auf dieser Ebene der IT wirklich zählt, ist eine Reihenfolge zum Fragen und keine längere Liste von Definitionen.
Die Netzmaske entscheidet über den ersten Sprung
Der Rechner am Plotter steht auf 192.168.2.40, die Arbeitsplätze im Büro stehen auf 192.168.178.20 und 192.168.178.21. Ob das etwas bedeutet, entscheidet allein die Maske. Die Netzmaske entscheidet, welche Adressen örtlich sind und welche einen Router brauchen. Bei einer Maske mit 24 gesetzten Bits sind nur die ersten drei Zahlen das eigene Netz, also sind 192.168.2 und 192.168.178 zwei verschiedene Netze, und jedes Paket dazwischen muss über einen Router.
Das ist keine Kleinigkeit im Kopf des Rechners, sondern eine Gabelung, die er vor jedem einzelnen Paket nimmt. Und er verrät sie auf Nachfrage.
ip route get 192.168.2.40
Die Antwort lautet 192.168.2.40 via 192.168.178.1 dev enp3s0 src 192.168.178.20. Das Wörtchen via ist die ganze Auskunft: Der Rechner wird dieses Paket nicht selbst zustellen, sondern es an 192.168.178.1 übergeben. Damit ist die Frage örtlich oder geroutet ohne Vermutung beantwortet, und zwar bevor irgendetwas gepingt wurde.
Erst der Dienst, dann der Weg
Die erste Frage gilt dem, was antworten soll, und sie wird auf der Maschine gestellt, die antworten soll. Vom Notebook im Besprechungsraum aus, das im selben Netz steht:
ss -tlnp
Die Zeile LISTEN 0 128 0.0.0.0:9100 users:(("cupsd",pid=812,fd=6)) sagt zweierlei, und beide Hälften tragen. ss -tlnp nennt den lauschenden Port und den Prozess, dem er gehört. Ein Port, auf dem niemand lauscht, ist ein anderer Fehler als ein Port in der Hand des falschen Programms. In Cottbus war der Port offen und in der richtigen Hand, was den Weg belastet und das Gerät entlastet und einen Nachmittag Neustarten erspart hat.
Die zweite Frage gilt der Stelle, an der der Weg endet. traceroute zeigt, wo der Weg endet, nicht wer ihn unterbrochen hat, und diese Unterscheidung macht das Werkzeug brauchbar statt irreführend. Ein Weg, der beim ersten Sprung stehen bleibt, sagt, dass das Paket bis dorthin kam und nicht weiter. Er sagt nicht, dass dieses Gerät kaputt ist. Sehr oft ist es tadellos und weigert sich schlicht, zwischen zwei Netzen zu vermitteln, von denen ihm nur eines genannt wurde. Diese Ausgabe richtig zu lesen ist der größte Teil der Netzwerkdiagnose.
Zwei Netze, weil eine Box im falschen Modus steht
Die Ursache in Cottbus steht an der Wand des Besprechungsraums. Dort hängt eine zweite Box, die vor einem Jahr für den Beamer dazugekommen ist, und sie wurde als eigener Router eingerichtet statt als Zugangspunkt im vorhandenen Netz. Damit verteilt sie ein eigenes Netz, übersetzt die Adressen nach oben und lässt alles hinaus. Nach innen lässt sie nichts, und niemand hat je etwas anderes von ihr verlangt.
Das ist die häufigste Verkabelung in kleinen deutschen Büros, weil die zweite Box meistens dieselbe Bauart wie die erste ist und im Auslieferungszustand ein eigenes Netz aufmacht. Die Einstellung, die das abstellt, heißt bei diesen Geräten Zugang über LAN, und sie macht aus dem Router einen Teilnehmer im bestehenden Netz. Welche Kästen hier überhaupt entscheiden, steht bei der Netzwerkhardware, und die Adressen, um die sie streiten, bei der Adressierung.
Ohne öffentliche IPv4 geht keine Portfreigabe
Der zweite Fehler dieser Art kostet in Deutschland regelmäßig einen halben Tag und steht in keiner englischen Anleitung. Nowak wollte die Zeiterfassung von zu Hause erreichen und hat im Router eine Portfreigabe eingetragen. Sie tut nichts. Bei DS-Lite gibt es keine öffentliche IPv4-Adresse, und eine Portfreigabe läuft ins Leere: Der Anschluss bekommt nur IPv6, das alte Protokoll wird durch einen Tunnel zum Anbieter geschickt, und die Adresse, unter der die Welt den Anschluss sieht, teilen sich hunderte Kunden.
An vielen Kabelanschlüssen ist das die Voreinstellung. Die Prüfung dauert eine Minute: Wenn die Adresse, die der Router als seine eigene anzeigt, mit 100.64 bis 100.127 beginnt, sitzt der Anschluss hinter der Übersetzung des Anbieters. Dann hilft eine IPv6-Freigabe, ein Anbieterwechsel oder ein Zugang über einen gemieteten Server, aber keine Portfreigabe.
Die Gabelung vor jedem Paket
Beide Wege sind richtig, und eine Zahl entscheidet, welcher genommen wird
Keiner der beiden Arme ist defekt. Welchen eine Maschine nimmt, entscheidet ihre Maske, und zwei verschiedene Masken in einem Haus erzeugen ein tadelloses Netz, das nicht druckt.
- Die Maske sagt jaIm eigenen Netz danach rufenKein Router beteiligt, und das Paket verlässt den Switch nicht
- Läuft auch dann, wenn das Routing falsch eingerichtet ist
- Scheitert, sobald die beiden wirklich in verschiedenen Netzen stehen
- Was das Notebook im Besprechungsraum tat
- Die Maske sagt neinAn das Standardgerät übergebenJetzt muss ein Router von beiden Netzen wissen, und dieser wusste nur von einem
- Richtiges Verhalten, und verworfen wird das Paket erst weiter vorn
- Der Weg endet bei dem Gerät, dem nie jemand etwas gesagt hat
- Was die beiden Arbeitsplätze im Büro taten
Die Zeichnung sagt nicht, welche Maske die richtige ist, denn keine von beiden ist falsch. Falsch ist, dass zwei Gerätegruppen in einem Haus auf dieselbe Frage verschiedene Antworten bekommen haben.
Das zu große Paket erzeugt keine Fehlermeldung
Die dritte Sache, die vorher zu wissen sich lohnt, macht überhaupt keinen Fehler sichtbar. Ein zu großes Paket wird stillschweigend verworfen und sieht aus wie eine langsame Seite. Kleine Anfragen kommen durch, große bleiben hängen, und das Bild ist eine Anwendung, die manche Seiten öffnet und bei anderen stehen bleibt.
An einem Anschluss über PPPoE, was in diesem Land die verbreitetste Einwahl ist, sinkt die zulässige Paketgröße von 1500 auf 1492 Byte. Ein Ping trägt 28 Byte Kopfdaten mit sich, also ist die größte Nutzlast, die ungeteilt durchgeht, 1464 Byte.
ping -M do -s 1464
Das do heißt: nicht zerteilen. Kommt diese Größe durch und 1465 nicht mehr, ist die Grenze gefunden. Eine Leitung, die kleine Pings beantwortet und große verwirft, ist damit vollständig diagnostiziert, und kein Werkzeug, das nur kleine Pakete schickt, hätte es je gesehen.
Wo es hakt, und warum das Modell die Stunde wert ist
Der Stillstand ist genau der Augenblick vom Anfang: die Stelle, an der die Abstraktionen aufhören, getrennt zu sein. Er kommt, wenn jemand eine IP-Adresse, einen DNS-Eintrag und ein Standardgerät sauber definieren kann und dann vor einer Störung steht, die keines davon einzeln ist und alle drei zugleich. Daraus wird der Schluss, echte Netze seien zu hoch. Sie sind es nicht. Es fehlt eine Reihenfolge, sie kostet einen Nachmittag, und geprüft wird sie nie, weil eine Definition sich abfragen lässt und eine Reihenfolge nicht.
Das Schichtenmodell wird als sieben Namen für die Prüfung gelehrt, und dabei geht sein Wert verloren. Sein Wert ist, dass es den Fragen eine Ordnung gibt: Ein Fehler auf einer Schicht lässt alles darüber kaputt aussehen, und keine Schicht darunter kommt als Schuldiger in Frage. Erst festzustellen, dass der Draht lebt, bevor über Namen gestritten wird, ist keine Pedanterie, sondern der einzige Weg, dieselbe Sache nicht dreimal zu prüfen. Dafür sind die Netzwerkmodelle da.
Der zweite Stillstand ist der Funk, und er ist ein Problem der Physik im Kostüm der Netzwerktechnik. Eine Verbindung, die am Schreibtisch trägt und an der Tür abreißt, hat ihre Einstellungen nicht geändert, und kein Protokollwissen hilft. Deshalb sind Funknetze ein eigener Bereich und kein Abschnitt.
Was 2026 zu öffnen ist
Auf jedem aktuellen Linux hat ss das alte netstat abgelöst und ip das alte ifconfig, und beide Ablösungen liegen Jahre zurück, während die alten Befehle in den meisten Anleitungen und in den Fingern der meisten Leute geblieben sind. Sie kosten nichts und sind bereits installiert. Zu lernen ist das neue Paar, zu erkennen das alte, sobald etwas von vor etwa 2018 auf dem Schirm steht.
Wenn die Befehle einander widersprechen, zeigt Wireshark, was tatsächlich auf der Leitung liegt, und entscheidet die Sache. Es ist kostenlos und quelloffen, es ersetzte das Raten aus Protokolldateien, und es verwandelt einen Streit zwischen zwei Abteilungen in eine Aufzeichnung, in der eine von beiden nachweislich unrecht hat. Eine solche Aufzeichnung zu lesen ist eine eigene Fertigkeit und den Nachmittag wert.
Offen bleibt, was zu tun ist, sobald der Weg stimmt und jemand ihn absichtlich gegen den Betrieb benutzt. Die eine Hälfte dieser Antwort steht bei Routing und Switching, die andere bei der IT-Sicherheit.