4 Prüfung (Analyse und Entwicklung von Netzwerken) (2 teil)

Netzwerkplan
Aufgabe 1 von 4 Aufgabe (26 Punkte) - Analyse des Netzwerkverkehrs in der Zentrale
a) Um zukünftig ein besseres Gesamtverständnis über den Netzverkehr zu erhalten, beauftragt Sie der Kunde mit der Installation einer Network-Observer-Lösung. Sie implementieren die Verwaltungs-Software als virtuelle Maschine auf dem Virtualisierungshost im Server-LAN. Diese kann jedoch nach der Basis-Installation nicht ins Netzwerk kommunizieren. Sie prüfen die IP-Konfiguration:

eth0: mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
link/ether bc:24:11:4f:d2:0e brd ff:ff:ff:ff:ff:ff
altname enp0s18
altname ens18
inet 192.168.31.3 netmask 255.255.248.0 scope global dynamic noprefixroute eth0

default via 192.168.31.1 dev eth0 protometric 100
aa) Nennen Sie die zwei vorliegenden Fehlkonfigurationen und geben Sie die notwendigen Schritte zur Korrektur an. (4 Punkte)

ab) Nach der Prüfung und Korrektur der IP-Konfiguration erhalten Sie beim Versuch der Kommunikation ins Netzwerk bzw. dem Internet folgenden Fehler:

ping: activate.networkobserver.com: Name or service not known

Nennen Sie eine mögliche Fehlerquelle der Konfiguration und beschreiben Sie einen Vorschlag zur weiteren Analyse.

(Hinweis: Der angegebene FQDN ist korrekt und existiert im Internet.)

Nennen Sie die zwei vorliegenden Fehlkonfigurationen und geben Sie die notwendigen Schritte zur Korrektur an. (3 Punkte)
 b) ba) Nach der erfolgreichen Implementierung der Management-Software für die Observer-Lösung soll die eigentliche Aufzeichnungsinstanz implementiert werden. Sie sprechen mit dem Kunden vorab über die Möglichkeiten, wie die Appliance ins Netzwerk eingebunden und später Netzwerkverkehr dorthin umgeleitet werden kann.

In Bezug auf die Anbindung der Aufzeichnungsinstanz soll ein Port-Channel auf Basis von 802.1AX konfiguriert werden.

Skizzieren Sie die Funktion eines Port-Channels mithilfe einer Zeichnung. (3 Punkte)
 bb) Sie beginnen die Konfiguration des Port-Channels (Bond) auf der Kommandozeilen-Schnittstelle Command Line Interface bzw. CLI) des Observer Systems. Dazu rufen Sie im ersten Schritt die Dokumentation (Manual Pages bzw. „Man-Pages“) des notwendigen Befehls ab:

ip link add - add virtual link
link DEVICE
specifies the physical device to act operate on.

NAME
specifies the name of the new virtual device.

TYPE
specifies the type of the new device.

Link types:
amt - Automatic Multicast Tunneling (AMT)
bareudp - Bare UDP L3 encapsulation support
bond - Bonding device
bridge - Ethernet Bridge device
dummy - Dummy network interface
erspan - Encapsulated Remote SPAN over GRE and IPv4
geneve - GEneric NEtwork Virtualization Encapsulation
ip link set { DEVICE | group GROUP }

Formulieren Sie die notwendigen 2 Befehle, um die Interfaces „eth0“ und „eth1“ einem (ebenfalls zu erzeugenden) Port-Channel-Interface hinzuzufügen.

(4 Punkte)
 bc) Im nächsten Schritt diskutieren Sie mit dem Kunden über die Möglichkeiten, wie Netzwerkverkehr an die Aufzeichnungs-Instanz erfolgen kann. Dabei sprechen Sie über das Konzept von „Port-Mirroring“.

Erklären Sie dem Kunden das grundlegende Konzept und gehen Sie auf beiden Varianten „Local-Port Mirroring“ und „Remote-Port Mirroring“ ein. (4 Punkte)
c) Um die zu erwartende Netzwerklast am Observer System besser einschätzen zu können, soll die benötigte Bandbreite auf Basis der folgenden Rahmenparameter errechnet werden:

VolP (Voice over IP):300 gleichzeitige Benutzer, wobei jeder VolP-Anruf im Schnitt 100 Kbit/s benötigt.

Video-Streaming: Das Unternehmen streamt täglich interne Schulungsvideos für 200 Mitarbeiter-gleichzeitig, wobei jeder Stream 3 Mbit/s verbraucht.

Regulärer Datenverkehr (E-Mails, Web-Browsing, Dateiübertragungen): Insgesamt wird geschätzt, dass durch diese Aktivitäten durchschnittlich 2 Gbit/s an Datenverkehr entstehen.

Das Network Observer System benötigt zusätzlich 20 % der Gesamtbandbreite des Netzwerkverkehrs, um den Verkehr effizient zu überwachen und zu analysieren.

ca) Berechnen Sie die Gesamtbandbreite in Gigabit/s, die benötigt wird, um den Spitzenverkehr aller Dienste gleichzeitig zu unterstützen, einschließlich der zusätzlichen Bandbreite für das Network Observer System. (5 Punkte)
 cb) Geben Sie eine Empfehlung ab, an welcher Stelle im Netzwerk Sie das Observer System platzieren sollten und begründen Sie Ihre Entscheidung. (3 Punkte)
Aufgabe 2 von 4 Aufgabe (23 Punkte) - Erneuerung der WLAN-Infrastruktur am Standort Ingolstadt
a) Zur Verbesserung der Leistung und Verfügbarkeit soll das WLAN am Standort zu einem WLAN-Mesh weiterentwickelt werden.
aa) Erläutern Sie 2 Vorteile dieser Bereitstellungform. (4 Punkte)
 ab) Die zur Beschaffung geplanten Access-Points verfügen über die Möglichkeit der Verwendung von WPA3-PSK als auch WPA3-Enterprise. Geben Sie eine Empfehlung ab, welche der beiden Varianten zu bevorzugen ist und begründen Sie Ihre Entscheidung. (3 Punkte)
 ac) Zusätzlich sollen die Access-Points zukünftig ohne externe Stromversorgung betrieben werden. Nennen Sie die notwendige Funktion, die dazu an den Switches verfügbar sein muss. (1 Punkte)
b) Die Access-Points sollen über den vorhanden WLAN-Controller in der Zentrale in Wolfsburg gesteuert werden.
ba) Erklären Sie die konkrete technische Aufgabe bzw. den Unterschied zwischen den Komponenten WLAN-Controller und Access-Point. (4 Punkte)
 bb) Nennen Sie 3 Merkmale, die hinsichtlich der Leistungsfähigkeit/Einsatzfähigkeit eines WLAN- Controllers Relevanz haben. (3 Punkte)
c) Um sich zukunftsfähig aufzustellen, möchte die Pulsar Elektronik AG eigene Netze für WLAN-Clients schaffen, die im Dual-Stack Betrieb auch auf IPv6 basieren. Die Pulsar Elektronik hat hierfür beim Internet Service Provider (ISP) das folgende Präfix zugewiesen bekommen:
2a02:ab10:c2:a000 :: /56
ca) Ermitteln Sie hierfür rechnerisch nachvollziehbar den IPv6-Präfix mit der Anforderung, dass 4 Subnetze gebildet werden sollen. (2 Punkte)
 cb) Ermitteln Sie die jeweilige Subnetz-ID und tragen Sie diese in die untenstehende Tabelle ein: (6 Punkte)
Subnetz ID
Aufgabe 3 von 4 Aufgabe (26 Punkte) - Unterstützung beim Troubleshooting im Netzwerk
a) Sie werden bezüglich einer Großstörung im Netzwerk der Pulsar Elektronik AG hinzugezogen. Es zeigen sich mehrere Fehlerbilder innerhalb des Netzwerks, sowohl in der Zentrale als auch am Standort Ingolstadt. Sie werden gebeten, mit der Analyse innerhalb der DMZ zu beginnen.
aa) Sie wollen im ersten Schritt feststellen, welche Art der Netzwerkkommunikation noch möglich ist und an welcher Stelle die Weiterleitung der Pakete fehlschlägt.

Nennen Sie hierfür jeweils ein geeignetes CLI-Kommando, mit dem sich die obenstehenden Prüfungen durchführen lassen. (2 Punkte)
 ab) Es zeigt sich, dass die Pakete an R3 nicht mehr weitergeleitet werden. Sie bitten daraufhin einen Kollegen darum, einen Netzerktrace am Ausgangsinterface zu erstellen. Dabei sehen Sie nach dem Versuch des http-Aufrufs einer Webseite folgende Gegebenheit:

Interface ETH3:
ac) Nennen Sie die Funktion, die notwendig ist, um eine erfolgreiche Kommunikation wieder zu ermöglichen und vervollständigen Sie die unten stehende Tabelle, die den Inhalt des TCP/IP-Headers darstellt, wenn
UND (4 Punkte)
aca) Vom Quell-System (192.168.30.2) bis zu R3 (4 Punkte)
Quell‑IP Ziel‑IP Quell‑Port Ziel‑Port
acb) Von R3 zum ISP (4 Punkte)
Quell‑IP Ziel‑IP Quell‑Port Ziel‑Port
b) Im nächsten Schritt sollen Sie die Gesamtkonfiguration von R3 nochmals prüfen, da hier auch die Ursache der anderen erlebten Fehlerbilder vermutet wird.
ba) Erstellen Sie die Routing-Tabelle für R3 auf Basis des beiliegenden Netzwerkplans. (8 Punkte)
Netz‑ID Netzmaske Interface
bb) Für die Zukunft überlegt die Pulsar Elektronik AG einen weiteren Zugang zum Internet über einen zweiten ISP zu implementieren.
Über welches Werkzeug innerhalb des Routings ist ein zusätzlicher Weg ins Internet steuerbar und über welchen Mechanismus könnte dieser parallel genutzt werden?
Beschreiben Sie die Funktionsweise eines dafür geeigneten Werkzeugs. (4 Punkte)
Aufgabe 4 von 4 Aufgabe (25 Punkte) - Implementierung von TLS-Zertifikaten an Webservern
a) Zur Absicherung diverser Web-Portale und Anwendungen sollen die entsprechenden Web-Server mit neuen TLS-Zertifikaten konfiguriert werden.
Nennen Sie die beiden Verschlüsselungsarten, auf denen eine TLS-Verbindung basiert, und geben Sie zusätzlich jeweils die Kerneigenschaft der jeweiligen Verschlüsselungsmethodik an. (4 Punkte)
b) Zum besseren Verständnis möchte der Kunde die einzelnen Schritte für die Erzeugung eines TLS-Zertifi- kats nachvollziehen.
ba) Bringen Sie die nachfolgenden Schritte in die technisch korrekte Reihenfolge. (3 Punkte)
Schritt
Einreichen des Requests bei der jeweiligen Certificate‑Authority
Installation des Zertifikats auf dem Webserver
Erzeugung eines CSR (Certificate Signing Request)
Verschlüsselung des Hash‑Werts mit Private‑Key der CA
Download des Zertifikats von der CA
Die CA bildet über die Informationen sowie den Public‑Key einen Hash‑Wert
bb) Der Kunde überlegt, die Zertifikate über die bereits intern bestehende Unternehmens-CA ausstellen zu lassen. Nehmen Sie zu diesem Vorschlag Stellung und begründen Sie Ihre Antwort. (3 Punkte)

bc) Nach der erfolgreichen Beantragung des Zertifikats, betrachten Sie dieses auf der Kommandozeile

Certificate:
Data:
Version: 3 (0x2)
Serial Number:
67:b2:6d:e3:5b:e9:22:b3:4c:cb:1a:53:29:46:de:62
Signature Algorithm: sha256WithRSAEncryption
Issuer:
C=DE, O=D-Trust GmbH, CN=D-TRUST SSL Class 3 CA 1 2009
Validity
Not Before: Apr 8 11:14:29 2024 GMT
Not After : Apr 17 09:03:46 2025 GMT
Subject:
serialNumber=CSM041228256,
C=DE,
ST=Niedersachsen,
L=Wolfsburg,
O=Pulsar Elektronik AG,
CN=pulsar-elektronik.de
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (4096 bit)

Erläutern Sie die nachfolgenden Zertifikatsbestandteile und ihre Aufgabe:

  • Issuer
  • Public Key Algorithm
  • Signature Alogrithm
(6 Punkte)
c) Sie beschäftigen Sie gemeinsam mit dem Kunden mit der Thematik der Möglichkeiten zur vorzeitigen Sperrung eines Zertifikats, falls dies in der Zukunft notwendig werden sollte.
ca) Erläutern Sie, wie ein Client innerhalb des TLS-Verbindungsaufbaus die Gültigkeit eines Zertifikats prüfen kann. (3 Punkte)
cb) In diesem Zusammenhang finden Sie im Internet folgende Informationen:

The Online Certificate Status Protocol (OCSP) enables applications to determine the (revocation) state of identified certificates.OCSP may be used to satisfy some of the operational requirements of providing more timely revocation information than is possible with CRLs and may also be used to obtain additional status information.

An OCSP client issues a status request to an OCSP responder and sus- pends acceptance of the certificates in question until the responder provides a response.

This protocol specifies the data that needs to be exchanged between an application checking the status of one or more certificates and the server providing the corresponding status.

Quelle:https://www.rfc-editor.org/rfc/rfc6960#section-1

Datum des Abrufs:17.04.2024

cba) Nennen Sie die grundlegende Funktion des OCS-Protokolls (1 Punkte)
 cbb) Nennen Sie die zwei Rollen innerhalb des OCS-Protokolls. (2 Punkte)
 cc) Beschreiben Sie den Vorteil bei der Verwendung von OCSP im Vergleich zu Sperrlisten. (3 Punkte)