In einer Router-Konfiguration für Standorte in Hamburg und München können Clients das Remotenetz nicht erreichen.
Offizielle IHK-Musterlösung:
a) (10 Pkt.): Statisches Routing muss bei jeder Netzänderung manuell gepflegt werden und bietet keine automatische Umleitung bei Leitungsausfall. Dynamisches Routing (OSPF) tauscht automatisch Link-State-Advertisements aus, berechnet bei Ausfällen binnen Sekunden Alternativrouten und skaliert in großen Netzen. b) (15 Pkt.): Die Metrik ist ein numerischer Wert zur Bewertung der Güte eines Pfades. OSPF berechnet die Metrik (Cost) invers zur Bandbreite (Cost = 10^8 / Bandbreite). Der Pfad mit der geringsten Gesamtsumme der Metriken wird in die Routingtabelle übernommen.
2. Aufgabe: Network Address Translation & Port Forwarding (25 Punkte)
Ein interner Client (192.168.10.15) greift über einen Router mit öffentlicher IP 203.0.113.5 auf einen Webserver im Internet zu.
Offizielle IHK-Musterlösung:
a) (15 Pkt.): Mehrere interne Clients teilen sich eine einzige öffentliche IPv4-Adresse. Der Router ersetzt die private Quell-IP durch seine öffentliche IP und vergibt einen eindeutigen Quell-Port (z. B. 54321). In einer internen NAT-Tabelle merkt sich der Router dieses Mapping, um eintreffende Antwortpakete wieder dem korrekten internen Client zuzuordnen. b) (10 Pkt.): Quell-IP: 203.0.113.5 | Quell-Port: Beliebiger dynamischer Port zwischen 1024 und 65535 | Ziel-IP: IP des Webservers (z. B. 198.51.100.2) | Ziel-Port: 443 (HTTPS) bzw. 80 (HTTP).
Ein Client an Port Fa0/5 kann Webseiten im Internet nicht aufrufen. Ein `ping 8.8.8.8` schlägt fehl, und `nslookup www.ihk.de` meldet einen Timeout.
Offizielle IHK-Musterlösung:
a) (15 Pkt.): Ursache: Broadcast-Isolation durch VLAN-Trennung auf Layer 2. Ohne Inter-VLAN Routing können Hosts aus VLAN 20 nicht mit VLAN 10 kommunizieren. Behebung: 1. Port Fa0/5 in VLAN 10 verschieben; oder 2. Router-on-a-Stick bzw. Layer-3 Switch SVI für VLAN 20 konfigurieren. b) (10 Pkt.):Rekursiv: Der Client fragt seinen DNS-Server, und der Server übernimmt die vollständige Auflösung bis zur endgültigen Antwort. Iterativ: Der DNS-Server antwortet mit dem Verweis (Referral) auf den nächsten zuständigen Nameserver (z.B. Root-Server → TLD-Server → autoritativer Nameserver).
Zur Absicherung öffentlich erreichbarer Web- und Mailserver wird eine Demilitarisierte Zone (DMZ) eingerichtet.
Offizielle IHK-Musterlösung:
a) (15 Pkt.): Aufbau: Internet → Äußere Firewall → DMZ (Web/Mailserver) → Innere Firewall → Internes LAN. Unterschiedliche Hersteller (z. B. Fortinet außen, pfSense/Cisco innen) verhindern, dass eine Zero-Day-Schwachstelle oder Fehlkonfiguration eines einzelnen Herstellers den Angreifer direkt ins interne LAN durchmarschieren lässt. b) (10 Pkt.): Verfügbarkeit: Sehr hoch (hoher finanzieller und Reputationsschaden bei Ausfall); Vertraulichkeit: Sehr hoch (Bankgeheimnis, Kontostände, DSGVO Art. 9); Integrität: Sehr hoch (Fehlbuchungen oder manipulierte Überweisungen existenzbedrohend).