17 Aktive Komponenten und ihre
Funktionen im OSI-Modell
17.1 Einführung in aktive
Netzwerkkomponenten
Im Gegensatz zu passiven Komponenten, die wir im vorherigen Kapitel
kennengelernt haben, benötigen aktive Netzwerkkomponenten eine eigene
Stromversorgung und führen aktive Verarbeitungsschritte auf den
übertragenen Signalen oder Daten durch. Diese Komponenten bilden das
“intelligente Rückgrat” moderner Netzwerke und ermöglichen erst deren
Funktionalität, Sicherheit und Leistungsfähigkeit.
Das OSI-Referenzmodell (Open Systems Interconnection) bietet einen
hervorragenden konzeptionellen Rahmen, um die Funktionen dieser aktiven
Komponenten zu verstehen und einzuordnen. Obwohl viele moderne
Netzwerkgeräte auf mehreren Schichten gleichzeitig operieren, ist die
ursprüngliche Zuordnung zum OSI-Modell weiterhin ein wertvolles Konzept
zum Verständnis ihrer grundlegenden Funktionen.
In diesem Kapitel betrachten wir die wichtigsten aktiven
Netzwerkkomponenten, ihre funktionalen Eigenschaften, typischen
Einsatzszenarien sowie ihre Einordnung in das OSI-Referenzmodell. Wir
beginnen mit den einfachsten Komponenten der untersten Schicht und
arbeiten uns systematisch durch immer komplexere Geräte der höheren
Protokollschichten.
17.1.1 Das OSI-Referenzmodell als
Einordnungsrahmen
Zur Erinnerung: Das OSI-Modell besteht aus sieben Schichten:
Physikalische Schicht (Physical Layer): Befasst
sich mit der physischen Übertragung von Bitströmen
Sicherungsschicht (Data Link Layer): Verantwortlich
für zuverlässige Verbindungen und Medienzugriff
Netzwerkschicht (Network Layer): Zuständig für
Routing und logische Adressierung
Transportschicht (Transport Layer): Bietet
Ende-zu-Ende-Kommunikation und Flusskontrolle
Sitzungsschicht (Session Layer): Verwaltet
Sitzungen zwischen Anwendungen
Darstellungsschicht (Presentation Layer): Übersetzt
Datenformate und kümmert sich um Verschlüsselung
Anwendungsschicht (Application Layer): Bietet
Netzwerkdienste für Anwendungen
Aktive Netzwerkkomponenten lassen sich anhand der OSI-Schicht
klassifizieren, auf der sie primär operieren, auch wenn moderne Geräte
oft Funktionen mehrerer Schichten integrieren.
17.2 Repeater und Hubs (Layer
1)
17.2.1 Funktionsprinzip von
Repeatern
Repeater waren die einfachsten aktiven Netzwerkkomponenten und
arbeiten ausschließlich auf der physikalischen Schicht (Layer 1) des
OSI-Modells. Sie wurden entwickelt, um die begrenzte Reichweite von
Netzwerksegmenten zu überwinden.
Ein Repeater empfängt ein Signal, regeneriert es (verstärkt und
“säubert” es) und sendet es weiter. Dieser simple Prozess ermöglicht die
Überbrückung größerer Distanzen, da Signale über längere Strecken ohne
Repeater degradieren würden. Repeater arbeiten auf Bit-Ebene und haben
keinerlei “Verständnis” für die übertragenen Daten oder Protokolle.
17.2.1.1 Funktionsweise im
Detail:
Signal empfangen (oft bereits abgeschwächt oder verrauscht)
Signal regenerieren und verstärken
Regeneriertes Signal weiterleiten
17.2.1.2 Technische
Eigenschaften:
Arbeitet mit elektrischen, optischen oder Funksignalen
Keine Verarbeitung oder Interpretation der Daten
Keine Adressierung oder Filterung
Niedrige Latenz (Verzögerung)
17.2.2 Hubs als
Multi-Port-Repeater
Hubs stellen die Evolution von Repeatern dar und können als
Multi-Port-Repeater betrachtet werden. Wie Repeater operieren sie
ausschließlich auf der physikalischen Schicht.
17.2.2.1 Funktionsweise:
Ein Hub empfängt ein Signal an einem Port und leitet es an alle
anderen aktiven Ports weiter. Dieses Verhalten wird als “Flooding”
bezeichnet und stellt die einfachste Form der Signalverteilung dar.
17.2.2.2 Typen von Hubs:
Passive Hubs: Verteilen Signale ohne
Verstärkung
Aktive Hubs: Verstärken Signale bei der
Weiterleitung
Intelligente Hubs: Bieten grundlegende
Managementfunktionen wie Portüberwachung
17.2.2.3
Shared-Medium-Charakteristik:
Alle an einen Hub angeschlossenen Geräte teilen sich dasselbe
Übertragungsmedium, was bedeutet: - Nur ein Gerät kann zu einer Zeit
senden (Half-Duplex) - Verwendung von CSMA/CD (Carrier Sense Multiple
Access with Collision Detection) zur Kollisionsvermeidung - Die
verfügbare Bandbreite wird auf alle Geräte aufgeteilt - Kollisionsdomäne
umfasst alle an den Hub angeschlossenen Geräte
17.2.3 Limitationen von
Layer-1-Geräten
Die grundlegenden Einschränkungen von Repeatern und Hubs ergeben sich
direkt aus ihrer Layer-1-Funktionalität:
Kollisionen: Alle angeschlossenen Geräte
konkurrieren um dasselbe Medium
Bandbreitenbegrenzung: Die Gesamtbandbreite wird
von allen Geräten geteilt
Sicherheitsrisiken: Jedes Gerät empfängt den
gesamten Verkehr im Netzwerksegment
Keine Filterung: Broadcasts und Fehler werden im
gesamten Netzwerk propagiert
Skalierungsprobleme: Leistung verschlechtert sich
drastisch mit steigender Gerätezahl
17.2.4 Historische Bedeutung und
aktueller Status
Hubs und dedizierte Repeater sind in modernen Netzwerken praktisch
obsolet und wurden vollständig durch Switches ersetzt. Dennoch ist das
Verständnis ihrer Funktionsweise wichtig, da:
Das Konzept der Signalregeneration weiterhin in vielen
Netzwerkkomponenten verwendet wird
Einige spezialisierte Anwendungen weiterhin repeaterähnliche
Funktionen nutzen
Das Verständnis der Evolution von Netzwerkkomponenten hilft, moderne
Geräte besser zu verstehen
17.3 Bridges und Switches (Layer
2)
17.3.1 Bridges als erste
intelligente Verbindungskomponenten
Bridges stellen den nächsten Evolutionsschritt in der Netzwerktechnik
dar und arbeiten primär auf der Sicherungsschicht (Layer 2) des
OSI-Modells. Im Gegensatz zu Hubs können Bridges Entscheidungen auf
Basis von MAC-Adressen (Media Access Control) treffen.
17.3.1.1 Funktionsweise von
Bridges:
Empfangen von Frames (Dateneinheiten auf Layer 2)
Analyse der Ziel-MAC-Adresse
Entscheidung basierend auf einer MAC-Adresstabelle, ob der Frame
weitergeleitet werden muss
Selektives Weiterleiten nur an die relevanten Ports oder
Segmente
17.3.1.2 Kernfunktionen einer
Bridge:
MAC-Adresslernfähigkeit: Aufbau dynamischer
Adresstabellen durch “Abhören” des Verkehrs
Selektives Weiterleiten: Nur relevante Frames
werden weitergeleitet
Segmentierung: Separierung des Netzwerks in
unabhängige Kollisionsdomänen
Filtering: Frames, deren Zieladresse im selben
Segment wie die Quelle liegt, werden nicht weitergeleitet
17.3.2 Switches als hochentwickelte
Multi-Port-Bridges
Moderne Switches haben Bridges weitgehend ersetzt und stellen deren
logische Evolution dar. Konzeptionell ist ein Switch eine
Multi-Port-Bridge, die für jede Verbindung eine dedizierte Bandbreite
bereitstellt.
17.3.2.1 Grundlegende
Funktionsweise eines Switches:
Empfangen eines Frames an einem Port
Analyse der Ziel-MAC-Adresse
Nachschlagen in der MAC-Adresstabelle (CAM - Content Addressable
Memory)
Weiterleiten des Frames nur an den Port, an dem die Ziel-MAC-Adresse
registriert ist
Bei unbekannten Zieladressen: Flooding (Weiterleitung an alle Ports
außer dem Eingangsport)
17.3.2.2 Wichtige
Switch-Technologien:
Store-and-Forward-Switching: - Frame wird
vollständig empfangen und auf Fehler geprüft - Höhere Latenz, aber
Fehlererkennung möglich - Moderne Switches verwenden meist diese
Methode
Cut-Through-Switching: - Weiterleitung beginnt,
sobald die Zieladresse gelesen wurde - Niedrigere Latenz, aber keine
Fehlererkennung - Varianten: Fast-Forward (minimal Latenz) und
Fragment-Free (prüft erste 64 Bytes)
Mikrosegmentierung: - Jeder Port bildet ein eigenes
Kollisionssegment - Ermöglicht Full-Duplex-Kommunikation (gleichzeitiges
Senden und Empfangen) - Jeder Port erhält die volle konfigurierte
Bandbreite
17.3.3 Erweiterte
Switch-Funktionen
Moderne Switches bieten weit mehr als nur grundlegende
Layer-2-Funktionalität:
17.3.3.1 Virtual LAN (VLAN) - IEEE
802.1Q:
Logische Segmentierung eines physischen Netzwerks
Erhöht Sicherheit und reduziert Broadcast-Domänen
Frame-Tagging zur VLAN-Identifikation
Trunk-Links für die Übertragung mehrerer VLANs über eine physische
Verbindung
17.3.3.2 Spanning Tree Protocol
(STP) - IEEE 802.1D und Varianten:
Verhindert Schleifen in redundanten Netzwerktopologien
Integration mit RADIUS/TACACS+ für zentrale Authentifizierung
Sicherheitsmaßnahme gegen unautorisierten physischen Zugriff
17.3.4 Spezielle Switch-Typen
Über die Jahre haben sich verschiedene spezialisierte Switch-Typen
entwickelt:
Stackable Switches: - Mehrere physische Switches
werden zu einer logischen Einheit zusammengefasst - Gemeinsames
Management und Backplane - Erhöhte Skalierbarkeit und vereinfachte
Verwaltung
Managed vs. Unmanaged Switches: -
Unmanaged: Plug-and-Play, keine
Konfigurationsmöglichkeiten - Managed: Umfangreiche
Konfigurationsmöglichkeiten, Monitoring, Remote-Management -
Smart/Web-Managed: Mittelweg mit grundlegenden
Konfigurationsmöglichkeiten
PoE-Switches (Power over Ethernet): -
Stromversorgung von Endgeräten über das Netzwerkkabel - Standards: IEEE
802.3af (PoE, bis 15.4W), 802.3at (PoE+, bis 30W), 802.3bt (PoE++, bis
100W) - Ideal für IP-Telefone, WLAN Access Points,
Überwachungskameras
Trotz ihrer Vielseitigkeit haben Layer-2-Switches einige inhärente
Limitierungen:
Broadcast-Domänen: Broadcasts werden innerhalb
eines VLANs an alle Ports weitergeleitet
Keine Subnetz-übergreifende Kommunikation: Kann
nicht zwischen verschiedenen IP-Subnetzen routen
Skalierungsprobleme bei großen Netzwerken:
MAC-Tabellen haben begrenzte Größe
Ineffizientes Routing: Kein Shortest-Path-Routing
zwischen VLANs
Diese Limitierungen führen uns zur nächsten Kategorie von
Netzwerkgeräten: Routern und Layer-3-Switches.
17.4 Router und Layer-3-Switches
(Layer 3)
17.4.1 Grundprinzipien des
Routings
Router operieren primär auf der Netzwerkschicht (Layer 3) des
OSI-Modells und ermöglichen die Kommunikation zwischen verschiedenen
Netzwerken. Im Gegensatz zu Switches, die Entscheidungen auf Basis von
MAC-Adressen treffen, verwenden Router logische Adressen – in der Regel
IP-Adressen.
17.4.1.1 Grundlegende
Funktionsweise eines Routers:
Empfangen eines Pakets
Entpacken des Layer-2-Frames, um das Layer-3-Paket zu
extrahieren
Analyse der Ziel-IP-Adresse
Konsultation der Routing-Tabelle zur Bestimmung des nächsten
Hops
Neuverpackung des Pakets in einen Frame für das Zielnetzwerk
Weiterleitung des Frames an das nächste Gerät
17.4.1.2 Kernfunktionen eines
Routers:
Pfadbestimmung: Wahl des optimalen Pfads zwischen
Quell- und Zielnetzwerk
Paketvermittlung: Weiterleitung von Paketen
zwischen verschiedenen Netzwerken
Netzwerksegmentierung: Trennung von
Broadcast-Domänen
Protokollübersetzung: Vermittlung zwischen
verschiedenen Netzwerktechnologien
17.4.2 Routing-Protokolle und
Routing-Arten
Router nutzen verschiedene Protokolle und Algorithmen, um
Routing-Entscheidungen zu treffen:
17.4.3 Layer-3-Switches:
Integration von Switching und Routing
Layer-3-Switches (auch Routing-Switches genannt) kombinieren die
Funktionen von Switches (Layer 2) und Routern (Layer 3) in einem Gerät.
Sie können sowohl Switching (basierend auf MAC-Adressen) als auch
Routing (basierend auf IP-Adressen) durchführen.
17.4.3.1 Unterschiede zwischen
Routern und Layer-3-Switches:
Implementierung:
Router: Software-basierte Implementierung mit universelleren
Funktionen
Layer-3-Switch: Hardware-basierte Implementierung mit ASIC
(Application-Specific Integrated Circuits)
Performance:
Layer-3-Switches bieten oft höhere Durchsatzraten für
Routing-Funktionen
Router bieten umfangreichere Protokollunterstützung und
Flexibilität
Funktionsumfang:
Router bieten typischerweise mehr WAN-Schnittstellen und erweiterte
Funktionen
Layer-3-Switches fokussieren sich auf schnelles
Inter-VLAN-Routing
17.4.3.2 Typische Anwendungen von
Layer-3-Switches:
Core- und Distribution-Layer in hierarchischen
Netzwerken
Inter-VLAN-Routing in größeren
Campus-Netzwerken
High-Performance-Routing in Rechenzentren
17.4.4 Erweiterte
Router-Funktionen
Moderne Router bieten weit mehr als nur grundlegende
Layer-3-Funktionalität:
17.4.4.1 Network Address
Translation (NAT):
Übersetzung zwischen privaten und öffentlichen IP-Adressen
Varianten: Static NAT, Dynamic NAT, PAT (Port Address
Translation)/NAPT
Wichtig für Adressraumkonservierung und als einfache
Sicherheitsmaßnahme
17.4.4.2 Access Control Lists
(ACLs):
Regeln zur Filterung von Netzwerkverkehr
Kann auf Basis von IP-Adressen, Ports, Protokollen, etc.
filtern
Mehrere Router teilen sich eine virtuelle IP-Adresse
Automatische Übernahme bei Ausfall des primären Routers
17.4.4.5 Tunneling und
VPN-Funktionalität:
Kapselung von Paketen für Transport über verschiedene Netzwerke
Unterstützung für verschiedene VPN-Protokolle wie IPsec, GRE,
DMVPN
Sichere Kommunikation über öffentliche Netze
17.4.5 Spezielle Router-Typen
Je nach Anwendungsbereich haben sich verschiedene spezialisierte
Router-Typen entwickelt:
Edge- oder Border-Router: - Verbinden ein lokales
Netzwerk mit externen Netzwerken (z.B. Internet) - Fokus auf Sicherheit,
Filterung, Bandbreitenmanagement - Oft mit integrierter
Firewall-Funktionalität
Core-Router: - Hochleistungsrouter im Kern großer
Netzwerke - Fokus auf maximalen Durchsatz und niedrige Latenz - Weniger
Filterfunktionen, mehr auf reines Routing ausgerichtet
Branch-Router: - Für Zweigstellen und
Remote-Standorte - Oft mit integrierten Diensten (Sicherheit, WLAN,
etc.) - Fokus auf Zuverlässigkeit und einfache Verwaltung
Wireless Router: - Kombinieren Routing-Funktionen
mit WLAN-Access-Point - Typisch für SOHO-Umgebungen (Small Office, Home
Office) - Oft mit integrierten Funktionen wie NAT, DHCP, einfache
Firewalls
Provider-Router: - Spezielle Hochleistungsrouter für
ISPs und Carrier - Unterstützung für spezielle Protokolle (MPLS, BGP,
etc.) - Extreme Skalierbarkeit und Verfügbarkeit
17.4.6 Limitationen von
Layer-3-Geräten
Auch Layer-3-Geräte haben ihre Grenzen, insbesondere bei:
Anwendungsspezifischer Intelligenz: Kein tiefes
Verständnis für Anwendungsprotokolle
Fortgeschrittenen Sicherheitsfunktionen: Begrenzte
Möglichkeiten für tiefe Paketinspektion
Protokollübersetzung höherer Schichten: Keine
Manipulation von Anwendungsdaten
Sessionmanagement: Keine vollständige
Sitzungsverwaltung (außer über Zustands-Tracking für NAT/Firewall)
Diese Limitierungen führen uns zur letzten Kategorie von
Netzwerkgeräten, die auf höheren Schichten des OSI-Modells arbeiten.
17.5 Gateways, Proxies und
Firewalls (Layer 3-7)
Netzwerkkomponenten, die auf den höheren Schichten des OSI-Modells
operieren, bieten die komplexesten und intelligentesten Funktionen. Sie
haben ein tiefes Verständnis für die übertragenen Daten und können
basierend auf Anwendungsprotokollen, Inhalten und Benutzerkontexten
agieren.
17.5.1 Gateways: Brücken zwischen
verschiedenen Welten
Im engeren Sinne ist ein Gateway ein Gerät, das als Übersetzer
zwischen verschiedenen Netzwerkprotokollen, -architekturen oder
-anwendungen fungiert. Moderne Gateways operieren typischerweise auf
mehreren OSI-Schichten (3-7).
17.5.1.1 Funktionen von
Gateways:
Protokollübersetzung: Umwandlung zwischen
unterschiedlichen Protokollen
Format- und Syntaxkonvertierung: Anpassung von
Datenformaten
Adressübersetzung: Umwandlung zwischen
verschiedenen Adressierungsschemen
Sicherheitsfunktionen: Oft mit Filterfunktionen
kombiniert
17.5.1.2 Typen von Gateways:
Anwendungsgateways: Spezialisiert auf bestimmte
Anwendungen (Mail, VoIP, etc.)
Protokollgateways: Übersetzen zwischen
verschiedenen Protokollen (IPv4/IPv6, etc.)
Media Gateways: Konvertieren zwischen verschiedenen
Medientypen (Analog/Digital, etc.)
API Gateways: Verwalten und schützen
API-Zugriffe
17.5.2 Proxies: Stellvertreter im
Netzwerkverkehr
Proxies agieren als Vermittler zwischen Clients und Servern und
können verschiedene Funktionen erfüllen. Sie arbeiten typischerweise auf
den Schichten 3 bis 7 des OSI-Modells.
17.5.2.1 Funktionsweise von
Proxies:
Client sendet Anfrage an den Proxy (statt direkt an den
Zielserver)
Proxy analysiert und verarbeitet die Anfrage
Proxy leitet eine möglicherweise modifizierte Anfrage an den
Zielserver weiter
Proxy empfängt die Antwort vom Server
Proxy verarbeitet die Antwort und leitet sie an den Client
weiter
17.5.2.2 Arten von Proxies:
Forward Proxy: Vermittelt Anfragen von internen
Clients an externe Server
Caching: Speichern häufig abgerufener Inhalte zur
Leistungsverbesserung
Authentifizierung: Zentrale Zugangskontrolle
Protokollierung: Detaillierte Aufzeichnung des
Nutzerverhaltens
Transformation: Modifikation von Inhalten (z.B.
Kompression, Werbeblocker)
17.5.3 Firewalls: Torwächter im
Netzwerk
Firewalls sind spezialisierte Sicherheitskomponenten, die
unautorisierten Netzwerkverkehr filtern und blockieren. Je nach Typ
können sie auf verschiedenen OSI-Schichten operieren.
17.5.3.1 Evolution der
Firewall-Technologie:
Paketfilter-Firewalls (Layer 3-4): - Einfache
Filterung basierend auf IP-Adressen, Ports und Protokollen - Stateless:
Jedes Paket wird isoliert betrachtet - Schnell, aber limitierte
Intelligenz - Typischerweise in Routern integriert
Stateful Inspection Firewalls (Layer 3-4): -
Berücksichtigung des Verbindungszustands - Tracking aktiver Verbindungen
in einer State Table - Intelligentere Filterung als reine Paketfilter -
Standard in modernen Netzwerken
Application Layer Firewalls / Next-Generation Firewalls
(Layer 3-7): - Tiefe Paketinspektion (DPI) -
Anwendungserkennung unabhängig vom genutzten Port -
Benutzeridentifikation und -kontrolle - Integration mit
IDS/IPS-Funktionen - Content-Filtering und Malware-Schutz
17.5.3.2 Wichtige
Firewall-Funktionen:
Access Control: Regelbasierte
Verkehrskontrolle
Deep Packet Inspection: Analyse der
Paketinhalte
Application Control: Kontrolle auf
Anwendungsebene
User Identification: Integration mit
Benutzerverzeichnissen
Threat Prevention: Eingebaute
IPS/IDS-Funktionen
URL Filtering: Kontrolle des Webzugriffs
SSL Inspection: Entschlüsselung und Prüfung von
verschlüsseltem Verkehr
VPN-Endpunkt: Secure Remote Access
17.5.4 Spezialisierte Layer 4-7
Komponenten
Neben den genannten Hauptkategorien gibt es weitere spezialisierte
Komponenten, die auf den höheren OSI-Schichten arbeiten: