Übungsaufgaben zu Switches

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „Switches“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/switches
- https://oer-informatik.de/strukturierte-verkabelung
- https://oer-informatik.de/osi-modell-protokolle
- Stilbeispiel: https://oer-informatik.de/switches-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- Switch
- MAC-Adresstabelle
- Managed Switch
- Industrie-Switch
- PoE-Budget
- Spanning Tree
- Root Bridge
- Link Aggregation
- Port-Security

Kompetenzstufe: Kernkompetenz (alternativ: Basiskompetenz, Profilkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

a) Je Zeile 1 Punkt (0,5 Eintrag, 0,5 Ports):

b) Managed Switches (1 Punkt), weil die Netze von Büro, Werkstatt, Lager und Kameras in VLANs getrennt werden sollen, Ports gegen fremde Geräte gesichert und Auslastung und Ausfälle überwacht werden müssen; das ist nur mit konfigurierbaren Switches möglich (2 Punkte).

c) Je Situation 1 Punkt:

1. QoS: Sprachpakete werden gekennzeichnet und vor dem Download weitergeleitet; Gespräche bleiben verständlich, obwohl die Leitung ausgelastet ist.

2. IEEE 802.1X: Die Person meldet sich mit ihrem Konto an; der RADIUS-Server lässt sie zu und weist ihr unabhängig von der Dose das Lager-VLAN zu.

3. Port-Security: Am Port ist nur die MAC-Adresse des Etikettendruckers erlaubt; ein anderes Gerät wird gesperrt bzw. gemeldet.

4. PoE-Management: Die Administration schaltet die Stromversorgung des Kamera-Ports aus der Ferne kurz ab und wieder ein; die Kamera startet neu, ohne dass jemand hinaufsteigen muss.

d) Fehler (je 1,5 Punkte):

• Reihenfolge: Regel 10 verwirft jeden Verkehr ins Kamera-Netz, bevor Regel 20 geprüft wird; auch der Abruf durch den NVR trifft zuerst Regel 10. Die Erlaubnisregel muss vor der Verbotsregel stehen.

• Antworten fehlen: Die ACL arbeitet zustandslos. Die Antworten der Kameras (Quellport 554) an den NVR treffen Regel 30 und werden verworfen; es fehlt eine Regel, die sie erlaubt.

Korrigierte Liste (2 Punkte), z. B.:

ea)

Geg.: 6 Access Points mit IEEE 802.3at (30 W je Port am Switch), 8 Kameras mit IEEE 802.3af (15,4 W je Port)

Ges.: PoE-Budget P_{\mathrm{PoE}}

P_{\mathrm{PoE}} = 6 \cdot 30\,\mathrm{W} + 8 \cdot 15{,}4\,\mathrm{W} = 180\,\mathrm{W} + 123{,}2\,\mathrm{W} = \underline{\underline{303{,}2\,\mathrm{W}}}

(je Summand 1 Punkt)

eb) NetPro 24P-4X (1 Punkt). Argumente (je 1 Punkt):

• managed, also VLANs möglich (NetBasic und DeskLink scheiden aus);

• 24 RJ45-Ports reichen für 19 Geräte mit Reserve; PoE-Budget 370 W > 303,2 W (NetBasic: nur 190 W);

• 4 × SFP+: ein Port für den 10-Gbit/s-Uplink, einer für die 1-Gbit/s-Verbindung zum Container, Reserve für einen zweiten Uplink;

• Temperaturbereich passt zum beheizten Technikraum; günstiger als das überdimensionierte 48-Port-Modell.

ec) Je Türleser wird mit der Leistung gerechnet, die der Switch-Port nach IEEE 802.3at höchstens bereitstellen muss: 30 W, nicht 25,5 W, denn die Differenz geht in der Leitung verloren (1 Punkt).

P_{\mathrm{neu}} = 303{,}2\,\mathrm{W} + 2 \cdot 30\,\mathrm{W} = \underline{\underline{363{,}2\,\mathrm{W}}} < 370\,\mathrm{W}

Das Budget reicht, die Reserve beträgt aber nur noch 6,8 W (1 Punkt). Ports: 19 + 2 = 21 von 24 RJ45-Ports belegt, es bleiben drei frei (1 Punkt).

fa)

Geg.: 19 Geräte mit je 1 Gbit/s, Containerverbindung 1 Gbit/s, Uplink-Leitungen mit je 10 Gbit/s

Ges.: maximale Datenrate r und Zahl der Leitungen n

r = 19 \cdot 1\,\mathrm{Gbit/s} + 1\,\mathrm{Gbit/s} = \underline{\underline{20\,\mathrm{Gbit/s}}}

n = \left\lceil \frac{20\,\mathrm{Gbit/s}}{10\,\mathrm{Gbit/s}} \right\rceil = \underline{\underline{2}}

(2 Punkte für die Datenrate, 1 Punkt für die Zahl der Leitungen; also eine zusätzliche Leitung zum geplanten Uplink.)

fb) Link Aggregation (LACP, IEEE 802.3ad/802.1AX; auch Port-Channel, EtherChannel, Trunking/Bonding) (1 Punkt).

g) Ausschluss (je Zeile 1 Punkt), z. B.:

• NetBasic 24P: nur 0 °C bis 40 °C, 19-Zoll-Gerät mit Lüfter ohne Schutz gegen Staub; außerdem unmanaged.

• NetPro 24P-4X und NetPro 48P-4X: 0 °C bis 45 °C reicht im Winter nicht (−15 °C); 19-Zoll-Bauform mit Lüftern, für drei Geräte völlig überdimensioniert.

• DeskLink 8: kein Glasfaseranschluss, kein PoE für die Außenkamera, Temperaturbereich zu klein.

Übrig bleibt der FieldLink 8P-IND (1 Punkt): −40 °C bis +75 °C, lüfterlos (saugt keinen Staub an), zwei SFP-Ports für die Glasfaser, PoE+ für die Kamera, acht Ports reichen. Zu beachten (1 Punkt): Das Gehäuse in IP30 schützt nur gegen Fremdkörper ab 2,5 mm, nicht gegen Staub. Der Switch gehört deshalb auf eine Hutschiene in einem staubgeschützten Verteilerkasten (z. B. IP54), dazu ein 24-V-Netzteil (redundant zwei Einspeisungen möglich), das ebenfalls für Temperatur und Staub geeignet ist.

ha) Bei der Auto-Negotiation teilen sich beide Seiten mit, welche Geschwindigkeiten und Duplexverfahren sie anbieten, und wählen den höchsten gemeinsamen Modus (1 Punkt). Die Netzwerkkarte könnte 1000baseT/Full, bietet aber nur 100baseT/Full an („Advertised link modes“); der Switch bietet bis 1000baseT/Full an, gemeinsam ist also nur 100 Mbit/s Vollduplex (1 Punkt). Abhilfe: wieder alle Modi anbieten, z. B. sudo ethtool -s enp3s0 autoneg on advertise 0x03f, und die Einstellung dauerhaft in der Netzwerkkonfiguration (z. B. NetworkManager) ändern; bleibt es danach bei 100 Mbit/s, das Kabel prüfen (1 Punkt).

hb) Mit fester Einstellung sendet der Drucker keine Auto-Negotiation-Informationen (1 Punkt). Der Switch erkennt am Signal nur die Geschwindigkeit (100 Mbit/s), nicht das Duplexverfahren, und muss dann Halbduplex annehmen (1 Punkt). Es entsteht ein Duplex-Mismatch: Der Drucker sendet, wann er will, der Switch wertet gleichzeitiges Senden als Kollision; späte Kollisionen und CRC-Fehler führen zu verworfenen und wiederholten Frames, Druckaufträge kommen langsam oder brechen ab (1 Punkt). Zur Einordnung der Zähler: Typisch sind beim Duplex-Mismatch späte Kollisionen auf der Halbduplex-Seite (hier der Switch-Port), während die Vollduplex-Seite (hier der Drucker) vor allem FCS- bzw. CRC-Fehler und Runts sieht, weil der Switch seine Frames bei einer vermeintlichen Kollision abbricht. Die vielen Rx-CRC-Fehler am Switch sind daher eher untypisch; die Gegenseite ist von CRC-Fehlern meist stärker betroffen. Am Befund Duplex-Mismatch ändert das nichts. Abhilfe: Drucker auf automatische Aushandlung stellen; geht das nicht, auf beiden Seiten dieselben festen Werte (100 Mbit/s, Vollduplex) einstellen (1 Punkt).

a) Die Aussage stimmt nicht (1 Punkt): Die Root Bridge wird allein über die Bridge-ID aus Priorität und MAC-Adresse gewählt; die kleinste gewinnt, die Bandbreite spielt dabei keine Rolle (1 Punkt). Da alle Prioritäten gleich sind, entscheidet die kleinste MAC-Adresse: SW-A0 (…:0A:… < …:0B:… < …:0C:…) (1 Punkt). Die Bandbreite wirkt erst über die Pfadkosten auf die Wahl der Root Ports; soll SW-B0 Root werden, muss seine Priorität gesenkt werden (1 Punkt).

b) Weg (1 Punkt): SW-C0 erreicht die Root Bridge SW-A0 über seinen Root Port Te1/0/49, also über SW-B0. Kosten (1 Punkt): 2000 für die 10-Gbit/s-Faser C0–B0 plus 2000 für die Faser B0–A0 ergibt 4000. Gi1/0/48 (2 Punkte): Der direkte Weg über die 1-Gbit/s-Leitung kostet 20000 und ist teurer; auf dieser Leitung ist der Port der Root Bridge Designated Port. Der Port von SW-C0 ist deshalb Alternate Port und verwirft Frames, damit keine Schleife entsteht; er bleibt als Ersatzweg bereit.

c) Te1/0/49 verliert den Link (1 Punkt). Der bisherige Alternate Port Gi1/0/48 wird Root Port und leitet weiter (1 Punkt). Pfadkosten zur Root: 20000 über die direkte 1-Gbit/s-Leitung (1 Punkt). Weil RSTP den Alternate Port schon vorbereitet hat, schaltet es ohne die Wartezeiten des klassischen STP (dort 30 bis 50 s) innerhalb von Sekundenbruchteilen bis wenigen Sekunden um; der Stream stockt nur kurz, muss aber mit 1 Gbit/s auskommen (1 Punkt).

da)

Geg.: Datenmenge 1,8 TB, Datenrate 10 Gbit/s

Ges.: Übertragungsdauer t

t = \frac{1{,}8 \cdot 10^{12}\,\mathrm{Byte} \cdot 8\,\mathrm{bit/Byte}}{10 \cdot 10^{9}\,\mathrm{bit/s}} = \frac{1{,}44 \cdot 10^{13}\,\mathrm{bit}}{10^{10}\,\mathrm{bit/s}} = 1440\,\mathrm{s} = \underline{\underline{24\,\mathrm{min}}}

(1 Punkt Umrechnung in Bit, 1 Punkt Ergebnis)

db) LACP verteilt nicht Frame für Frame abwechselnd, sondern ordnet jede Verbindung (jeden Datenfluss) über einen Hashwert aus MAC-/IP-Adressen und ggf. Ports genau einer Leitung des Bündels zu, damit die Frames in der richtigen Reihenfolge ankommen (1 Punkt). Die eine rsync-Verbindung läuft deshalb vollständig über eine Faser und bleibt bei höchstens 10 Gbit/s; die Kopie dauert weiterhin rund 24 Minuten, Emres Aussage ist falsch (1 Punkt). Das Bündel bringt mehr Gesamtdurchsatz erst bei vielen parallelen Verbindungen (Gäste, Stream, mehrere Kopien gleichzeitig), die sich auf beide Fasern verteilen (1 Punkt).

dc) Ablauf (3 Punkte): Der Switch erkennt den Ausfall des Bündelmitglieds (Link down sofort, sonst über ausbleibende LACP-Nachrichten) und nimmt die Faser aus dem Bündel (1 Punkt). Der Hash verteilt die Verbindungen neu auf die verbleibende Faser; der Stream läuft dort weiter (1 Punkt). Verloren gehen nur die Frames, die gerade unterwegs waren; TCP wiederholt sie bzw. der Puffer des Players überbrückt die Lücke, das Publikum merkt meist nichts. Danach stehen nur noch 10 Gbit/s zur Verfügung, für den Stream mehr als genug (1 Punkt).

Empfehlung (2 Punkte), z. B.: Das Bündel lohnt sich – nicht weil eine einzelne Übertragung schneller wird (siehe db), sondern weil beide Fasern genutzt werden und der Ausfall einer Faser fast unterbrechungsfrei abgefangen wird (1 Punkt). Die zweite Faser sollte über einen anderen Weg (andere Trasse bzw. anderes Kabel) verlegt werden; liegen beide im selben Kabel, trennt ein Bagger beide gleichzeitig (1 Punkt).

e) QoS kennzeichnet und priorisiert Datenverkehr (z. B. nach IEEE 802.1p im VLAN-Tag oder DSCP im IP-Header): Die Frames des Streams werden bei hoher Last zuerst weitergeleitet, damit Bild und Ton nicht stocken, während z. B. Downloads im Gäste-WLAN warten müssen (2 Punkte).

fa) Je Schritt 1 Punkt:

• Als der alte Mini-Player zum ersten Mal am Port hing, hat sich der Switch dessen MAC-Adresse b827.eb4c.07e2 gemerkt und wegen mac-address sticky fest in die Konfiguration geschrieben. Mit maximum 1 ist am Infomonitor-Port nur dieses eine Gerät erlaubt.

• Der Ersatz-Player bringt eine andere MAC-Adresse mit (dca6.325e.910b); für den Switch ist das ein fremdes Gerät an der Monitor-Dose, also eine Sicherheitsverletzung (erste Logzeile).

• Wegen violation shutdown hat der Switch den Port in den Zustand „err-disabled“ versetzt; auch nach dem Umstecken bleibt er gesperrt, weil keine automatische Wiederherstellung eingerichtet ist – der Monitor bleibt schwarz.

fb) Je Schritt 1 Punkt:

• den gemerkten Eintrag des alten Players entfernen, z. B. no switchport port-security mac-address sticky b827.eb4c.07e2 in der Konfiguration des Ports (oder clear port-security sticky interface Gi1/0/18);

• den Port zurücksetzen (shutdown, danach no shutdown), damit er den Zustand „err-disabled“ verlässt; der Switch lernt jetzt die MAC-Adresse des Ersatz-Players als neuen Sticky-Eintrag;

• prüfen, z. B. mit show port-security interface Gi1/0/18, dass Port-Security aktiv ist, genau die Adresse dca6.325e.910b eingetragen ist und der Port wieder „Secure-up“ meldet; zum Test kurz ein anderes Gerät anschließen bzw. auf die Sperre achten;

• die Konfiguration speichern (z. B. copy running-config startup-config), damit der neue Eintrag einen Neustart übersteht.

fc) Vergleich (je Modus 1 Punkt):

• protect: Frames fremder MAC-Adressen werden still verworfen, es gibt weder Meldung noch Zähler; das berechtigte Gerät arbeitet weiter.

• restrict: Frames fremder Adressen werden verworfen, zusätzlich erzeugt der Switch eine Syslog-/SNMP-Meldung und erhöht den Verletzungszähler; das berechtigte Gerät arbeitet weiter.

• shutdown: Der ganze Port wird gesperrt (err-disabled), auch für das berechtigte Gerät, bis ein Admin ihn freigibt oder eine eingerichtete Wiederherstellung greift.

Entscheidung (1 Punkt), z. B. restrict: Ein Fremdgerät bekommt keinen Zugang, der Monitor zeigt während des Barcamps weiter an und die Administration erfährt trotzdem vom Versuch. Ebenso vertretbar ist shutdown mit automatischer Wiederherstellung nach einigen Minuten, wenn Sicherheit vor Verfügbarkeit gehen soll. protect ist ungeeignet, weil Angriffe unbemerkt bleiben.

ga) Der Gast kann das Standardkennwort ausprobieren oder Kennwörter durchprobieren; mit Zugriff könnte er VLANs ändern, Ports abschalten, Verkehr auf einen eigenen Port spiegeln oder das Netz lahmlegen (1 Punkt). Da die Seite per HTTP unverschlüsselt erreichbar ist, kann jemand im selben Netz außerdem die Anmeldedaten der Administration mitlesen (1 Punkt).

gb) Je Einstellung 1 Punkt, z. B.:

• Gemeinsames Konto mit notiertem Kennwort: Änderungen sind keiner Person zuzuordnen, das Kennwort kennt jeder mit Zugang zum Schrank → persönliche Konten (z. B. über RADIUS bzw. TACACS+), Kennwörter im Passwortmanager.

• TFTP überträgt die Konfiguration samt Kennwort-Hashes und SNMP-Zugangsdaten unverschlüsselt und ohne Anmeldung → Sicherung per SCP bzw. SFTP auf ein geschütztes Ziel.

• Aktive ungenutzte Ports in VLAN 1: Wer eine freie Dose findet, ist im Netz, oft im VLAN der Switch-Verwaltung → ungenutzte Ports abschalten und einem leeren „Parkplatz“-VLAN zuordnen.

• Veraltete Firmware mit bekannter Lücke: Angriffe über die Weboberfläche sind öffentlich beschrieben → Firmware zeitnah aktualisieren, bis dahin die Weboberfläche abschalten.

• Protokolle nur lokal: Nach einem Absturz oder Angriff fehlen die Spuren → Meldungen per Syslog an einen zentralen Server senden, Uhrzeit per NTP abgleichen.

gc) Beim Out-of-Band-Management läuft die Verwaltung über den eigenen Management-Port und ein physisch getrenntes Netz, unabhängig von Uplinks und VLANs der Nutzdaten (1 Punkt). Hätte Svenja sich darüber angemeldet, hätte die Änderung am Trunk ihre Sitzung nicht getrennt, und sie hätte den Fehler sofort zurücknehmen können (1 Punkt). Nachteil (1 Punkt), z. B.: zusätzliche Leitungen und Switches für das Managementnetz, höhere Kosten; das Managementnetz muss selbst abgesichert und von den Admin-Arbeitsplätzen erreichbar sein.

gd) Ein Switch leitet Unicast-Frames nur an den Port weiter, hinter dem die Ziel-MAC-Adresse laut MAC-Tabelle liegt; am Port des Notebooks kommen nur Broadcasts und der eigene Verkehr an (1,5 Punkte). Abhilfe: Port-Mirroring (SPAN) einrichten, sodass SW-A0 den Verkehr des Encoder-Ports (bzw. seines VLANs) zusätzlich auf den Port des Notebooks kopiert (1,5 Punkte).