2.1. Wie funktionieren Netzwerke und das Internet?
Lernziele
- Sie verstehen den Aufbau von lokalen Netzwerken und des Internets
- Sie verstehen, wie die Kommunikation und der Austausch von Daten in diesen Netzen funktioniert und kennen Sicherheitsmechanismen
Netzwerke
Ein Netzwerk (Rechnernetz) ist zunächst einfach die Verbindung mehrerer Computer zum Zweck des Datenaustauschs, zur Nutzung von verteilten Applikationen oder Diensten oder zum Zweck der Kommunikation zwischen ihren BenutzerInnen. Mit “verteilten Applikationen oder Diensten“ ist gemeint, dass die in ein Netzwerk eingebundenen Computer unterschiedliche Aufgaben übernehmen: So kann beispielsweise ein Computer eine Webseite bereitstellen, auf der Nutzende Nachrichten austauschen oder Profile von sich erstellen können. Diese Profile können dann von anderen Nutzenden eingesehen werden. Ein weiterer Computer kann hierfür als Datenbankserver fungieren. Dieser speichert die eingegebenen Daten in einer Datenbank und stellt sie dem Computer zur Verfügung, der als “Host“ (Gastgeber) für die Webseite dient. Ein weiterer Computer könnte die Funktion übernehmen, als sog. Authentifizierungs- oder Loginserver sicherzustellen, dass nur authentifizierte BenutzerInnen auf den Computer mit der Webseite zugreifen können (z.B. solche, die über einen dem Computer bekannten Benutzernamen + Passwort oder einen digitalen Schlüssel verfügen). Auf diese Art können sich ergänzende Funktionen auf mehrere Computer verteilt werden, die dann zusammen für den bzw. die NutzerIn eine bestimmte Dienstleistung (einen Service) realisieren. Der bzw. die NutzerIn merkt in der Regel nichts davon, dass die Nutzung dieses Dienstes bzw. die Bearbeitung seiner bzw. ihrer Nutzerinteraktion gar nicht von einem, sondern von mehreren Computern in einem Netzwerk erfolgt. Auf diese Art und Weise kann die anfallende Rechenlast zur Datenverarbeitung, Berechnung und “Beantwortung” der Interaktion mit dem oder den NutzerInnen entzerrt und in ihrer Leistungsfähigkeit optimiert werden.
Netzwerke können kabelbasiert (in der Regel Kupferkabel oder bei noch performanteren Netzwerken Lichtwellenleiter) über sogenannte “Switches” oder “Router” erfolgen, die als Vermittlungsstellen für Daten fungieren, an denen Computer (aber auch weitere Vermittlungsstellen) sternförmig angeschlossen sind. An einen Switch werden mehrere Server bzw. Computer (Endgeräte von Nutzern, sog. Clients) angeschlossen. Es können auch Netzwerke mit anderen Netzwerken gekoppelt werden und es können auch drahtlose Netzwerke aufgebaut werden. So koppeln beispielsweise handelsübliche DSL-Router, wie man sie auch von zu Hause kennt, einerseits kabelgebundene Netzwerkgeräte über sog. LAN-Schnittstellen (LAN steht für Local Area Network) mit über WLAN (Wifi) angeschlossenen Geräten (WLAN steht für Wireless Local Area Network) mit dem Internet über eine WAN-Schnittstelle (WAN steht für Wide Area Network). Auch die Kabelstrecke eines DSL-Anbieters zu einem Endkunden endet wieder an einem Switch (an dem mehrere Endkunden zusammengeführt werden), der wiederum per Kabel oder Lichtwellenleiter (Glasfaser) an weitere Verteilerpunkte angeschlossen ist.
Abb.: Beispielhafter Netzwerkplan aus den Empfehlungen zur IT-Ausstattung für Schulen des bayerischen StmUK (2019)
Client-Server-Architektur
In Netzwerken übernehmen in der Regel sog. Server diese Funktionen. Bei Servern handelt es sich einfach ausgedrückt um Computer, die besondere Anforderungen bezüglich Leistung und Zuverlässigkeit für einen dauerhaften und unterbrechungsfreien Betrieb erfüllen, die von normalen Consumergeräten nicht erfüllt werden können. NutzerInnen senden über ihren Computer (Endgerät) bzw. die darauf installierten Applikationen Anfragen an den oder die Server (beispielsweise über einen Browser die Anfrage zur Darstellung einer Webseite). Technisch fungieren die Endgeräte in Bezug auf die Server, die den eigentlichen Service bereitstellen, als sog. Clients. Man spricht in diesem Zusammenhang auch von der Client-Server-Architektur. Das nachfolgende Video veranschaulicht diese Architektur, die charakteristisch für eine Vielzahl an Services und Anwendungen ist (insbesondere wenn es um die Verwendung von internetbasierten Applikationen geht).
Datentransfer in Netzen (Protokolle, Packet-Switching, IP-Adressen, DNS)
Ein wesentliches Merkmal der meisten Netzwerkformen ist die Übertragung von Daten mithilfe sogenannter Datenpakete. Im vorherigen Video haben Sie bereits etwas darüber gelernt, dass es für diese Datenpakete verschieden Packformate (technisch: Protokolle gibt). Für Webseiten ist beispielsweise das sog. HTTP-Protokoll der Standard. HTTP steht für Hypertext Transfer Protocoll, mit dem Anwendungen im Client/Server-Prinzip Daten austauschen können, um Text (Webseiten) darzustellen. Dieses Protokoll auf Anwendungsebene wird in ein tieferliegendes technisches Transferprotokoll eingebettet, mit dem Computer in Netzwerken grundsätzlich und unabhängig von Anwendungen kommunizieren, z.B. das sog. TCP/IP-Protokoll (Transmission Control Protocoll für Internetprotokolle). In Bezug auf Protokolle ist für Sie wichtig zu verstehen, dass Daten nach bestimmten Regeln transferiert werden und dass bei einer Übertragung mehrere Protokolltypen auf unterschiedlichen Ebenen ineinandergreifen. Was die Datenübertragung selbst angeht, ist wichtig: Es wird keine direkte Verbindung zwischen dem sendenden und empfangenden Gerät (Computer) hergestellt, sondern die Pakte werden von Rechner/Switch zu Rechner/Switch weitergeleitet, bis sie schließlich an ihrem Ziel ankommen. Man nennt dieses Verfahren auch “Packet Switching“.
Die einzelnen Computer in einem Netzwerk erhalten Adressen, über die der Empfänger des Datenpakets eindeutig identifiziert werden kann. Diese Adressen sind die IP-Adressen (IP für Internet-Protokoll). Es gibt inzwischen zwei technische Standards, nach denen diese Adressen vergeben werden. Das ursprüngliche und in den allermeisten Heim-, Unternehmens- und Schulnetzwerken gebräuchlichste Format ist der IPv4-Standard, eine 32 Bit lange Adresse, die in 4 Bytes (Oktetten) aufgeteilt und dezimal durch einen Punkt getrennt notiert wird. Gebräuchlich für den Router eines Heimnetzwerkes ist beispielsweise die Adresse 192.168.111.0, wobei für kleinere Netzwerke in der Regel nur die letzte Oktette (das letzte Byte) durch unterschiedliche Zahlen zur Differenzierung der Geräte genutzt wird. Auch das Internet verwendet grundsätzlich diesen Standard. Da in absehbarer Zeit die Anzahl möglicher Adressen im World Wide Web das theoretische Maximum der mit IPv4-Adressen darstellbaren Menge überschreitet, wurde der IPv6-Standard entwickelt. Dieser Standard nutzt 128 Bit zur Darstellung des Adressraums und ermöglich damit ungefähr 3,4 · 1038 Adressen.
Da Menschen sich schlecht Zahlen als Adressen für Server (und damit für die Services, die diese Server bereitstellen, wie beispielsweise Webseiten) merken können, existiert für das Internet und auch für Heim- und Unternehmensnetzwerke die Möglichkeit, diese technischen IP-Adressen mit Namen zu versehen, die für Menschen verständlich sind. Daher kommen beispielsweise die uns bekannten www.-Adressen. Die Aufgabe, menschenlesbare Namen in die technisch relevanten IP-Adressen zu übersetzen, übernehmen sogenannte Domain-Name-System-Server (DNS-Server). Sie funktionieren im Prinzip wie eine Art weltweites (oder im Fall von Unternehmens- und Heimnetzwerken lokales) Telefonbuch, in dem eine Zuordnung von Namen und IP-Adresse gespeichert wird. Die IP-Adresse der allseits bekannten Webseite www.google.com lautet beispielsweise 142.250.185.238. Geben Sie zum Test einmal diese IP-Adresse in die Adresszeile Ihres Browsers ein. Über sog. DNS-Lookup-Services (wie z.B. diese) können auch Sie dieses Telefonbuch vollumfänglich nutzen, um die IP-Adressen, die sich hinter den Namen der Webseiten verbergen, herauszufinden. Jeder Internet-Service-Provider (ISP) stellt seinen Endkunden einen solchen DNS-Server zur Verfügung. Er wird vom ISP in den Router, der die Brücke vom Heimnetzwerk ins Internet darstellt, eingetragen. Jede Webadresse, die ein bzw. eine NutzerIn in diesem Netz eingibt, wird durch diesen DNS-Server in eine IP-Adresse übersetzt (aufgelöst).
Das OSI-Schichtenmodell
Das OSI-Schichtenmodell für die Datenkommunikation in offenen Systemen wurde von der ISO (International Standard Organization) entwickelt, um ein einheitliches Kommunikationssystem für den Datentransfer in Netzwerken bereitzustellen, das Kompatibilität zwischen unterschiedlichen Geräten, Anbietern und Softwareapplikationen ermöglicht. Würde es dieses Modell nicht geben und würden sich die Hersteller nicht daran halten, könnte das dazu führen, dass bestimmte Dienste und Services im Netz nur von spezifischen Anbietern genutzt und unterstützt werden würden. Das OSI-Modell (OSI steht für Open Systems Interconnection) enthält sieben sog. Layer (Schichten), die jeweils eigene Funktionen für die Weiterverarbeitung und Versendung der Daten vom Sender zum Empfänger haben. Die Übertragung einer Information (eines Datenpakets) durchläuft dabei jeweils beim Sender alle sieben Schichten von oben nach unten, um beim Empfänger dann in umgekehrter Reihenfolge wieder zusammengesetzt zu werden.
Das folgende Video gibt ebenfalls eine kurze Einführung in das Modell:
https://www.youtube.com/watch?v=ipojl8kZT10
Besonderheiten des Internets
Datenpakete werden im Internet (und auch in größeren Firmennetzwerken) wie bereits gesagt nicht über eine Direktverbindung übermittelt, sondern sozusagen von Switch zu Switch bzw. auch von Server zu Server weitergeleitet. Pakete werden dafür durchnummeriert und mit der Empfängeradresse versehen – dann gehen sie auf die Reise und können auch unterschiedliche Wege (Routen) zu ihrem Ziel nehmen. Am Zielort werden Sie gemäß der Nummerierung wieder zu einem konsistenten Datensatz zusammengefügt.
Überprüfen sie mit dem tracert Befehlt in einer Windows-Kommandozeile einmal, welchen Weg ein Datenpaket zu dem Server google.com nimmt (das Programm dazu unter Windows ist die “Eingabeaufforderung”, die Sie über das Startmenu öffnen können). Jede Adresse auf diesem Weg, den das Datenpaket zurücklegt, nennt man auch “Hop” (von hüpfen). Die Hilfefunktion und weitere Konfigurationsmöglichkeiten für den Befehl können Sie sich mit “tracert –help” anzeigen lassen.
Nachdem wir nun den Weg eines Datenpaktes zu seiner Zieladresse verfolgt haben, könnten wir auch überprüfen, wie lange ein Transfer generell zu der Zieladresse braucht. Das kann über den Befehl “ping” ebenfalls in der o.g. Kommandozeile geschehen.
Die durchschnittliche Zeit waren in diesem Fall 25ms. Der ping auf den ersten “Hop” (in der Regel der Router, der die Brücke zum Internet bildet) sollte übrigens im einstelligen Millisekundenbereich liegen. “Pingt” man auf Internetadressen, hinter denen sich performante Server verbergen (in der Regel die von großen und professionellen Anbietern), sollte bei einer sauberen DSL- und Netzwerk- bzw. WLAN-Verbindung ein relativ konstanter Wert deutlich unter 100ms herauskommen. Über den ping Befehl lassen sich potenzielle Netzwerkprobleme erkennen, z.B. sog. Dropouts/Paketverluste oder auch sporadisch auftauchende hohe Transferzeiten (z.B. mehrere hunderte oder tausende ms). Hierfür muss man den ping-Befehl jedoch über einen längeren Zeitraum ausführen und die Ergebnisse speichern lassen. In der Windows-Kommandozeile geht das beispielsweise so: “ping google.com -n 100 >ergebnis.txt“. Die Ausgabe des ping-Befehls, der insgesamt 100 Mal ausgeführt wird, wird so in eine Datei namens “ergebnis.txt” gespeichert.
Sie können sich in folgendem Video noch einmal die Funktionsweise des Internets veranschaulichen lassen.
Wie funktioniert das Internet?
Verschlüsselungsmechanismen (SSL)
Bitte beachten Sie: Die Datenpakete passieren die Switches bzw. Server und können von diesen auch vollständig auf ihrem Weg durch das World Wide Web gelesen werden. Sofern diese Daten unverschlüsselt sind, können Sie also an jeder Stelle des passierten Wegs auch von jemand anderem als dem bzw. der EmpfängerIn ganz einfach zusammengesetzt und gelesen werden.
Daher werden auf Protokollebene inzwischen diverse Verschlüsselungsmechanismen eingesetzt, mit denen sichergestellt werden soll, dass lediglich der bzw. die EmpfängerIn (Client oder Server) die übertragenen Datenpakete auch lesen und sinnvoll verarbeiten kann. Für das Internet wurde daher das HTTP-Protokoll zum HTTPS-Protokoll erweitert (Hypertext Transfer Protocol Secure). Eine Entschlüsselung der übertragenen Datenpakete ist damit zwar nicht unmöglich gemacht, sie ist aber so bedeutsam erschwert, dass erhöhte Rechenressourcen und ein hoher Zeitaufwand zur Entschlüsselung notwendig sind, die von normalen Anwendern in der Regel nicht aufgebracht werden können. Auch für andere Protokolle auf Anwendungsebene exisiterien solche Sicherheitslayer (z.B. für die E-Mail Protokolle IMAP bzw. POP3).
Im folgenden Video (engl.) finden Sie eine Erklärung zur Funktionsweise der Verschlüsselung, die auf dem sog. Public/Private-Key-Prinzip basiert.
Bei der Nutzung von internetbasierten Services und auch, wenn eigene Services (z.B. eine Webseite) zur Verfügung gestellt werden sollen, ist also unbedingt darauf zu achten, dass ein Verschlüsselungsmechanismus existiert und auch aktiv ist (das gilt beispielsweise auch für E-Mail-Provider bzw. selbst eingerichtet E-Mail-Postfächer).
Wifi/WLAN und seine Authentifizierungsmechanismen
Auch im WLAN (Wireless Local Area Network) kommen Sicherheitsmechanismen zur Datenübertragung zum Einsatz. Hier enthält bereits das drahtlose Übertragungsprotokoll selbst eine Verschlüsselungsmöglichkeit, den sogenannten Wifi Protected Access Sicherheitsstandard für Funknetzwerke (WPA). Der neueste Standard WPA2 weist den stärksten Schlüsselmechanismus auf, der den Anforderungen der international anerkannten Sicherheitsrichtlinie IEEE 802.11i entspricht. Hier wird – anders als beim oben genannten Verschlüsselungsverfahren für HTTPS – ein sog. Pre-Shared-Key (PSK) genutzt, ein Schlüssel (das uns bekannte WLAN-Passwort), der sowohl dem Sender als auch dem Empfänger der Datenpakete bekannt sein muss und der zur Verschlüsselung der Datenpakete verwendet wird.
Exkurs: Passwortsicherheit
Generell spielen bei informationstechnologischen Sicherheitsüberlegungen Passwörter eine große Rolle. Das reicht von Zugängen zu WLAN über Login-Passwörter für Server oder Webdienste bis hin zu persönlichen Kennungen zur Nutzung des internen Netzwerks einer Organisation.
Es ist zwingend notwendig, hier sog. “starke” Passwörter zu verwenden, d.h. Passwörter, die aus komplexen und zufälligen Kombinationen von Zahlen, Buchstaben und Sonderzeichen bestehen. Außerdem ist es gute Praxis, nicht das gleiche Passwort für verschiedene Dienst zu benutzten. Da es eine Vielzahl an Diensten und Services gibt, für die Passwörter genutzt werden müssen, hat es sich etabliert, sog. Passwort-Manager zu nutzen, in denen die Zugangsdaten für die unterschiedlichen Dienste gespeichert werden – natürlich mit einem ebenfalls entsprechend gesicherten Zugang. Ein mögliches Tool hierfür ist das frei verfügbare Open Source Projekt Keepass: https://keepass.info/. Dieses Tool verfügt (wie andere vergleichbare) über einen Passwortgenerator, der sichere Passwörter nach Nutzervorgaben erstellt.
Exkurs: WLAN-Ausleuchtung
In privaten und öffentlichen Einrichtungen stellt die Verfügbarkeit des WLANs je nachdem, in welchen Teilen der Räumlichkeiten der Gebäude man sich aufhält, immer wieder ein Problem dar. Hierbei ist zu beachten, dass auch ein schwaches WLAN-Signal, bei dem zwar grundsätzlich eine WLAN-Verbindung von Seiten des Endgeräts her aufgebaut werden kann, bei dem aber die Übertragungsbandbreite stark reduziert ist, ein großes Problem darstellen kann, das insbesondere im schulischen Bereich immer wieder für starke Frustration der NutzerInnen sorgt.
Mit einer App wie z.B. Fritz!App WLAN können Sie Signalstärke und Datendurchsatz des mit Ihrem Endegerät verbunden WLANs in Abhängigkeit von Ihrer räumlichen Position messen. Damit können Sie sich einen groben Eindruck von Verfügbarkeit/Reichweite und Performance des WLANs machen. Beachten Sie, dass es sich hierbei nicht um eine objektive Messung handelt, da die Ergebnisse auch von der technischen Ausstattung Ihres Endgeräts abhängig sind.
Für WLAN-Netzwerke, die von einer großen Anzahl an Personen genutzt werden sollen, ist es nötig, eine professionelle sog. “WLAN-Ausleuchtung” zu beauftragen, um festzustellen, an welchen Stellen im Gebäude WLAN-Access-Points installiert werden müssen, um eine gleichmäßige und performante Versorgung des Gebäudes mit WLAN zu ermöglichen.