Was steckt eigentlich in einem Heimnetzwerk?

In den meisten Haushalten steht ein Gerät, das allgemein einfach als Router
bezeichnet wird. Technisch übernimmt das Gerät des Internetanbieters aber häufig mehrere
Aufgaben gleichzeitig.

• Router: leitet Daten zwischen unterschiedlichen Netzwerken weiter.
• Switch: verbindet Ethernet-Geräte innerhalb des lokalen Netzes.
• WLAN Access Point: verbindet drahtlose Geräte mit dem LAN.
• DHCP-Server: verteilt automatisch die Netzwerkkonfiguration.
• DNS-Forwarder oder lokaler Resolver: verarbeitet beziehungsweise leitet DNS-Anfragen weiter.
• Firewall: kontrolliert ein- und ausgehende Verbindungen.
• NAT: übersetzt bei IPv4 typischerweise private in öffentliche Adressen.

1. IP-Adresse: die Netzwerkadresse eines Geräts

Damit Geräte über IP miteinander kommunizieren können, benötigen ihre Netzwerkschnittstellen
entsprechende Adressen. In einem IPv4-Heimnetzwerk sieht das beispielsweise so aus:

Router:      192.168.1.1
Computer:    192.168.1.20
Smartphone:  192.168.1.34
NAS:         192.168.1.50
Drucker:     192.168.1.70

Dabei handelt es sich um private IPv4-Adressen. Sie werden innerhalb privater
Netzwerke verwendet und im öffentlichen Internet normalerweise nicht direkt geroutet.

Private IPv4-Adressbereiche

Private und öffentliche IP-Adressen

Ein Router besitzt logisch betrachtet normalerweise mindestens zwei Seiten:

• LAN: Verbindung zum lokalen Netzwerk;
• WAN: Verbindung zum Internetanbieter.

Auf der LAN-Seite könnte der Router beispielsweise 192.168.1.1 verwenden.
Auf der WAN-Seite erhält er vom Provider je nach Anschluss eine öffentliche IPv4-Adresse
oder eine Adresse innerhalb einer Carrier-Grade-NAT-Infrastruktur.

2. Subnetzmaske: Welches Gerät gehört zu meinem lokalen Netz?

Eine IP-Adresse allein reicht für die Entscheidung über den Übertragungsweg nicht aus.
Ein Gerät muss wissen, welcher Teil der Adresse das Netzwerk und welcher Teil den Host beschreibt.

Ein typisches Beispiel:

IP-Adresse:    192.168.1.20
Subnetzmaske:  255.255.255.0
CIDR:          /24
Gateway:       192.168.1.1

Bei 192.168.1.0/24 gehören die üblichen Host-Adressen des Netzes zum Bereich
192.168.1.x.

Möchte der Rechner 192.168.1.50 erreichen, erkennt er die Adresse als lokal.
Die Kommunikation kann innerhalb des LANs erfolgen.

Liegt das Ziel dagegen beispielsweise bei 142.250.x.x, befindet es sich nicht
im lokalen Subnetz. Der Rechner nutzt deshalb sein Default Gateway.

3. DHCP: Wer verteilt die IP-Adressen?

Ohne DHCP müsste auf praktisch jedem Endgerät manuell konfiguriert werden:

• IP-Adresse;
• Subnetzmaske beziehungsweise Präfix;
• Default Gateway;
• DNS-Server.

DHCP – Dynamic Host Configuration Protocol automatisiert diese Aufgabe.
Im Heimnetzwerk befindet sich der DHCP-Server normalerweise im Router.

Der DORA-Ablauf

Bei der erstmaligen IPv4-Konfiguration läuft vereinfacht folgender Prozess ab:

DHCP-Lease

Eine per DHCP zugewiesene Adresse wird normalerweise nicht unbegrenzt vergeben.
Die Zuweisung besitzt eine bestimmte Gültigkeitsdauer, den sogenannten
DHCP-Lease.

Der Client versucht diesen Lease rechtzeitig zu erneuern. Unter bestimmten Umständen
kann ein Gerät später auch eine andere Adresse erhalten.

Statische IP oder DHCP Reservation?

Geräte wie NAS-Systeme, Netzwerkdrucker, Server oder Smart-Home-Zentralen sollten häufig
dauerhaft unter derselben Adresse erreichbar sein.

Dafür eignet sich in vielen Heimnetzwerken eine DHCP Reservation.
Der DHCP-Server verwaltet die Adresse weiterhin zentral, weist einem bestimmten Gerät
aber immer dieselbe IP-Adresse zu.

4. DNS: Wie findet der Computer google.com?

IP-Kommunikation benötigt Adressen. Menschen verwenden jedoch lieber Namen wie
google.com, amazon.de oder luigipranzo.com.

Das Domain Name System – DNS ermöglicht die Auflösung solcher Namen
in die für die Kommunikation benötigten Adressen.

DNS ist mehr als nur ein Telefonbuch

Der oft verwendete Vergleich mit einem Telefonbuch ist als Einführung hilfreich.
Technisch ist DNS aber ein hierarchisches und verteiltes System.

Bei einer Namensauflösung können unter anderem beteiligt sein:

• Browser-Cache;
• Cache des Betriebssystems;
• konfigurierter DNS-Resolver;
• DNS-Root-Server;
• TLD-Server, beispielsweise für .com;
• autoritativer Nameserver der Domain.

Rekursive Resolver speichern Antworten im Cache. Deshalb muss nicht bei jeder Anfrage
die komplette DNS-Hierarchie erneut abgefragt werden.

Welchen DNS-Server verwendet mein Computer?

DHCP kann dem Client mitteilen, welche DNS-Server verwendet werden sollen.
Häufig wird dabei zunächst der Router selbst eingetragen:

DNS: 192.168.1.1

Der Router leitet diese DNS-Anfragen anschliessend an Resolver des Providers
oder an externe DNS-Dienste weiter.

Bekannte öffentliche Resolver sind beispielsweise:

• Cloudflare: 1.1.1.1
• Google Public DNS: 8.8.8.8
• Quad9: 9.9.9.9

5. Default Gateway: der Weg in andere Netzwerke

Das Default Gateway ist der Router beziehungsweise Next Hop, an den ein Host
Pakete weitergibt, wenn keine spezifischere Route zum Ziel vorhanden ist.

Beispiel:

PC:       192.168.1.20/24
Gateway:  192.168.1.1

Das Ziel

192.168.1.50

befindet sich im selben Subnetz. Der Rechner muss dieses Paket deshalb nicht zuerst
zu einem Router schicken, um ein anderes Netzwerk zu erreichen.

Beim Ziel

93.184.216.34

sieht es anders aus. Es liegt ausserhalb des lokalen Netzes. Der Rechner übergibt den Verkehr
deshalb an 192.168.1.1. Der Router entscheidet anschliessend anhand seiner Routing-Tabelle,
wohin das Paket weitergeleitet wird.

6. NAT: Wie viele Geräte eine öffentliche IPv4-Adresse teilen

Einer der häufigsten Begriffe in Heimnetzwerken ist
NAT – Network Address Translation.

Im LAN können beispielsweise folgende Adressen existieren:

192.168.1.20  PC
192.168.1.21  Notebook
192.168.1.30  Smartphone
192.168.1.50  NAS
192.168.1.80  Smart-TV

Diese privaten IPv4-Adressen werden im öffentlichen Internet nicht normal weitergeleitet.
Der Router übersetzt deshalb beim Übergang zur WAN-Seite entsprechende Adressinformationen.

NAT und PAT

Was bei Heimroutern allgemein als NAT bezeichnet wird, ist häufig genauer betrachtet
eine Form von PAT – Port Address Translation beziehungsweise NAPT.

Beispiel:

Interner PC:
192.168.1.20:52344

Öffentliche Router-IP:
203.0.113.25

Webserver:
198.51.100.40:443

Der Router kann daraus eine Übersetzung erstellen:

192.168.1.20:52344
        ↓
203.0.113.25:61002
        ↓
198.51.100.40:443

Dabei führt er eine entsprechende Zustands- beziehungsweise NAT-Tabelle.
Treffen Antwortpakete ein, kann der Router damit bestimmen, welchem internen Gerät
sie zugeordnet werden müssen.

Warum ist mein NAS nicht automatisch aus dem Internet erreichbar?

Eine von aussen neu gestartete Verbindung passt nicht automatisch zu einem bereits bekannten
NAT-Eintrag. Der Router weiss daher nicht ohne weitere Regel, welchem internen Host
dieser Datenverkehr zugestellt werden soll.

Eine mögliche Konfiguration ist sogenanntes Port Forwarding:

WAN-Port 443
     ↓
192.168.1.50:443

NAT ist keine Firewall

NAT und Firewall sind zwei unterschiedliche Mechanismen.
NAT verändert Adressen oder Ports. Eine Firewall entscheidet anhand ihrer Regeln,
ob bestimmter Datenverkehr erlaubt oder blockiert wird.

Bei Heimroutern arbeiten beide Funktionen häufig eng zusammen, weshalb sie oft miteinander
verwechselt werden.

Was ist CGNAT?

Nicht jeder Internetprovider stellt jedem Kunden eine eigene öffentliche IPv4-Adresse zur Verfügung.
Stattdessen kann der Anbieter Carrier-Grade NAT – CGNAT einsetzen.

Dann kann die Verbindung vereinfacht so aussehen:

Endgerät
192.168.1.20
    ↓
Heimrouter
100.64.x.x
    ↓
Provider-NAT
    ↓
Geteilte öffentliche IPv4-Adresse
    ↓
Internet

Befindet sich der Anschluss hinter CGNAT, reicht eine Portweiterleitung im eigenen Router
häufig nicht aus, um einen internen Dienst direkt aus dem Internet erreichbar zu machen.

7. Was passiert wirklich, wenn du eine Webseite öffnest?

Jetzt setzen wir die einzelnen Komponenten zusammen. Ein Notebook verbindet sich mit dem WLAN
und du öffnest www.example.com.

Schritt 1: Netzwerkkonfiguration

Der DHCP-Server könnte dem Notebook folgende Daten zuweisen:

IP:       192.168.1.34
Maske:    255.255.255.0
Gateway:  192.168.1.1
DNS:      192.168.1.1

Schritt 2: DNS-Auflösung

Der Browser benötigt die Adresse von www.example.com.
Falls sie nicht bereits im Cache vorhanden ist, erfolgt eine DNS-Anfrage.

Schritt 3: Ist das Ziel lokal?

Das Betriebssystem vergleicht die Zieladresse mit dem eigenen Subnetz.
Liegt der Server im Internet, gehört er nicht zu 192.168.1.0/24.

Schritt 4: Übergabe an das Gateway

Der Rechner sendet den Verkehr an sein Default Gateway, beispielsweise
192.168.1.1.

Schritt 5: NAT und Routing

Der Router führt bei IPv4 gegebenenfalls NAT/PAT durch und leitet die Pakete über die WAN-Verbindung
an den Provider weiter. Von dort durchlaufen sie weitere Router bis zum Zielnetz.

Schritt 6: Antwort

Antwortpakete gelangen zurück zum Heimrouter. Mithilfe des Verbindungszustands und der
NAT-Tabelle kann er sie wieder dem Notebook zuordnen, das die Verbindung gestartet hat.

Internet
   │
   │ Öffentliche IPv4 / ISP-Verbindung
   │
[ Router ]
WAN: Adresse des Providers
LAN: 192.168.10.1/24
DHCP: 192.168.10.100 - 192.168.10.200
   │
   ├── PC         192.168.10.101
   ├── Smartphone 192.168.10.105
   ├── Smart-TV   192.168.10.112
   ├── NAS        192.168.10.20
   └── Drucker    192.168.10.30

8. Typische Netzwerkprobleme richtig einordnen

Wer die einzelnen Komponenten kennt, kann Fehler wesentlich systematischer suchen.

Was bedeutet eine 169.254.x.x-Adresse?

Kann ein Gerät keine IPv4-Konfiguration über DHCP erhalten, verwenden verschiedene Betriebssysteme
unter Umständen automatisch eine Link-Local-Adresse aus 169.254.0.0/16.

Erwartest du eine Adresse wie 192.168.x.x, siehst aber 169.254.x.x,
deutet das stark auf ein DHCP- oder Verbindungsproblem hin.

Systematische Fehlersuche

1. Prüfen, ob das Gerät eine passende IP-Adresse besitzt.
2. Subnetzmaske beziehungsweise Präfix kontrollieren.
3. Default Gateway prüfen.
4. Erreichbarkeit des Gateways testen.
5. Anschliessend eine bekannte Internet-IP testen.
6. Danach die DNS-Auflösung überprüfen.
7. Bei externen Verbindungen zusätzlich NAT, Firewall und CGNAT kontrollieren.

So lässt sich die Fehlerstelle Schritt für Schritt eingrenzen, statt zufällig Einstellungen
zu ändern und auf eine Verbesserung zu hoffen.

9. Was ändert sich mit IPv6?

Die bisherigen Beispiele konzentrierten sich stark auf IPv4, da insbesondere private IPv4-Adressen
und NAT typische Bestandteile heutiger Heimnetzwerke sind.

Bei IPv6 ist der Adressraum wesentlich grösser. NAT wird deshalb nicht wie bei IPv4
benötigt, um einen Mangel an öffentlichen Adressen auszugleichen.

IPv6-Geräte können ihre Netzwerkinformationen unter anderem über
Router Advertisements, SLAAC und je nach Netzwerk
DHCPv6 erhalten.

10. Zusammenfassung

Eine Webseite scheint sich innerhalb weniger Augenblicke zu öffnen. Im Hintergrund müssen jedoch
mehrere Fragen geklärt werden: Welche Adresse besitzt das eigene Gerät? Welches Ziel soll erreicht
werden? Muss zuerst ein Name aufgelöst werden? Befindet sich das Ziel im lokalen Netzwerk?
Welcher Router ist der nächste Hop?

Wer diese Grundlagen versteht, kann Heimnetzwerke wesentlich besser konfigurieren,
NAS-Systeme sauber integrieren, Internetprobleme diagnostizieren und anschliessend
komplexere Themen wie VPN, VLAN, Firewalls oder Netzwerksegmentierung leichter verstehen.

Häufige Fragen