Switch, Router, Access Point und Firewall: Netzwerkgeräte und ihre Aufgaben

Der Router zu Hause sieht aus wie ein einziges Gerät. In Wirklichkeit steckt in dem Gehäuse mehr: ein Router, ein Switch mit vier Netzwerkbuchsen, ein WLAN-Access-Point und eine Firewall. In einer Firma sind diese Aufgaben meist auf getrennte Geräte verteilt. Wer ein Netzwerk verstehen will, muss deshalb wissen, was jedes Gerät tut und worin es sich von den anderen unterscheidet.

Im Beitrag LAN, WLAN und WAN war schon vom Switch, vom Router und vom Access Point die Rede. Hier schauen wir uns jedes Gerät genauer an.

Die vier Geräte im Überblick

Gerät	Hauptaufgabe	Entscheidet anhand von	OSI-Schicht (grob)
Switch	Verbindet Geräte innerhalb eines Netzes	MAC-Adresse	Schicht 2
Router	Verbindet verschiedene Netze miteinander	IP-Adresse (Zielnetz)	Schicht 3
Access Point	Verbindet Funkgeräte mit dem kabelgebundenen Netz	MAC-Adresse	Schicht 1 und 2
Firewall	Filtert Datenverkehr nach Regeln	IP-Adresse, Port, Verbindungszustand, teils Anwendung	Schicht 3 bis 7

Mit den Schichten ist das OSI-Modell gemeint, das wir später behandeln. Die Angaben dienen hier nur als Orientierung. Der Gedanke dahinter ist wichtiger: Jedes Gerät schaut auf andere Informationen im Paket und trifft damit andere Entscheidungen. Die Adressen selbst erklärt der nächste Beitrag zu MAC-Adresse und IP-Adresse.

Der Vorgänger: Der Hub

Früher setzte man Hubs ein. Ein Hub nimmt ein Signal an einem Port an und gibt es an alle anderen Ports weiter, egal für wen es bestimmt ist. Alle Geräte teilen sich so eine einzige Leitung, und wenn zwei gleichzeitig senden, kommt es zu Kollisionen. Hubs sind heute praktisch verschwunden. Der Switch hat ihre Aufgabe übernommen, und zwar deutlich klüger.

Der Switch: Gezielt innerhalb eines Netzes weiterleiten

Ein Switch verbindet Geräte in einem Netz, zum Beispiel alle Arbeitsplätze, Server und Drucker eines Büros. Der Unterschied zum Hub: Er schickt Daten nur an den Port, an dem der Empfänger hängt.

Dazu führt der Switch eine MAC-Adresstabelle. Sie ordnet jede MAC-Adresse einem Port zu. Den Inhalt lernt er selbst:

1. Ein Gerät sendet einen Rahmen. Der Switch liest die Absender-MAC-Adresse und notiert, an welchem Port sie angekommen ist.
2. Er schaut nach der Ziel-MAC-Adresse. Steht sie in der Tabelle, schickt er den Rahmen nur an den zugehörigen Port.
3. Kennt er das Ziel noch nicht, schickt er den Rahmen an alle anderen Ports. Das nennt man Fluten (Flooding). Sobald das Ziel antwortet, lernt der Switch auch dessen Port.
4. Einträge, die länger nicht benutzt wurden, verfallen nach einiger Zeit, oft nach fünf Minuten.

Ein Beispiel: Ein Switch hat PC A an Port 1, PC B an Port 2 und den Server an Port 3. Nach einer Weile sieht seine Tabelle so aus:

Port	Gelernte MAC-Adresse	Gerät
1	00:1A:2B:3C:4D:01	PC A
2	00:1A:2B:3C:4D:02	PC B
3	00:1A:2B:3C:4D:10	Server

Schickt PC A jetzt Daten an den Server, landen sie nur an Port 3. PC B bekommt nichts davon mit. Das spart Bandbreite, und es ist zudem sicherer, weil niemand fremden Verkehr mitlesen kann, der nicht für ihn bestimmt ist. Jeder Port eines Switches arbeitet außerdem unabhängig, sodass mehrere Gespräche gleichzeitig laufen können.

Unmanaged und managed Switches

Ein Unmanaged Switch arbeitet ohne Einrichtung: Du steckst ihn ein, und er funktioniert. Ein Managed Switch lässt sich konfigurieren, etwa um Netze zu trennen (VLANs), Ports zu überwachen oder Geräte per PoE mit Strom zu versorgen. In Firmen kommen meist Managed Switches zum Einsatz. Wie VLANs funktionieren, behandelt der Beitrag VLAN verstehen.

Der Router: Verbindung zwischen Netzen

Ein Router verbindet verschiedene Netze. Der wichtigste Fall: Er sitzt zwischen deinem LAN und dem Internet. Er entscheidet nicht anhand von MAC-Adressen, sondern anhand der Ziel-IP-Adresse, in welches Netz ein Paket muss.

Dafür hat er eine Routing-Tabelle. Sie sagt: Für Ziele in diesem Netz geh dorthin. Ein einfaches Beispiel für den Router der kleinen Firma:

Zielnetz	Wohin?
192.168.10.0 mit Netzmaske 255.255.255.0	Direkt über die LAN-Schnittstelle
Alles andere (Standardroute)	An den Router des Providers

Wie solche Tabellen aufgebaut sind und wie Router Wege auswählen, zeigt der Beitrag zum Routing. Aus Sicht deiner Geräte heißt der Router Standardgateway: Alles, was nicht im eigenen Netz liegt, schickt dein Rechner dorthin.

Was ein Heimrouter zusätzlich kann

Heimrouter sind Allrounder. Neben dem Routing übernehmen sie meist:

• DHCP: Sie vergeben IP-Adressen an Geräte im Netz.
• NAT: Sie lassen mehrere Geräte hinter einer einzigen öffentlichen IP-Adresse ins Internet. Die Hintergründe folgen beim Thema private und öffentliche Adressen.
• DNS-Weiterleitung: Sie nehmen Namensanfragen an und geben sie weiter.
• WLAN: Ein Access Point ist eingebaut.
• Firewall: Eingehende Verbindungen aus dem Internet werden standardmäßig blockiert.

Der Access Point: Die Funkbrücke

Ein Access Point (AP) verbindet WLAN-Geräte mit dem kabelgebundenen Netz. Er ist über ein Netzwerkkabel an einen Switch angeschlossen und stellt per Funk ein oder mehrere WLANs bereit. Das WLAN erkennst du an seinem Namen, der SSID.

Ein AP leitet Daten zwischen Funk und Kabel weiter, ohne Netze zu trennen. Alle Geräte im WLAN befinden sich im selben Netz wie die am Kabel, solange man nichts anderes einrichtet.

In größeren Gebäuden setzt man mehrere Access Points ein, die gemeinsam verwaltet werden. Geräte wechseln beim Gehen von einem zum nächsten, ohne dass die Verbindung abbricht. Das nennt man Roaming. APs werden oft per PoE über das Netzwerkkabel mit Strom versorgt, sodass sie keine eigene Steckdose brauchen. Dazu mehr im Beitrag PoE verstehen.

Access Point, Repeater und Mesh

• Ein Access Point hängt per Kabel am Netz und bringt WLAN dorthin, wo du es brauchst.
• Ein Repeater empfängt das WLAN-Signal und sendet es erneut aus. Er braucht kein Kabel, kann aber die verfügbare Datenrate deutlich verringern, weil er dasselbe Funkband für Empfang und Weitergabe nutzt.
• Ein Mesh-System besteht aus mehreren Stationen, die sich selbst vernetzen und als ein WLAN erscheinen.

Wenn die Möglichkeit besteht, ist ein kabelgebundener Access Point die beste Lösung.

Die Firewall: Der Türsteher

Eine Firewall kontrolliert den Datenverkehr zwischen Netzen oder zu einem einzelnen Rechner und lässt nur durch, was die Regeln erlauben. Sie arbeitet wie ein Türsteher mit einer Liste.

Die Arten von Firewalls

• Paketfilter. Prüft pro Paket Absender, Ziel, Protokoll und Port. Einfach und schnell, aber ohne Gedächtnis.
• Stateful Firewall. Merkt sich, welche Verbindungen schon bestehen. Antworten auf eine selbst gestartete Anfrage lässt sie herein, unaufgeforderten Verkehr von außen blockiert sie. So arbeiten die meisten modernen Firewalls und auch Heimrouter.
• Application- oder Next-Generation-Firewall. Erkennt Anwendungen und kann Inhalte prüfen, zum Beispiel Schadsoftware oder bestimmte Dienste, auch wenn sie denselben Port nutzen.

Es gibt Firewalls als eigenständige Geräte am Netzrand und als Software direkt auf dem Rechner. Die Windows-Firewall und unter Linux Werkzeuge wie ufw sind solche Host-Firewalls.

Wie Firewall-Regeln funktionieren

Eine Firewall arbeitet eine Regelliste von oben nach unten ab. Die erste Regel, die zum Paket passt, entscheidet. Danach wird nicht weitergesucht. Ein Beispiel für das Firmennetz:

Nr.	Quelle	Ziel	Dienst	Aktion
1	Internes Netz	Internet	TCP 443 (HTTPS)	Erlauben
2	Internes Netz	Internet	TCP 80 (HTTP)	Erlauben
3	Internes Netz	Internet	UDP 53 (DNS)	Erlauben
4	Alle	Alle	Alle	Sperren

Die letzte Regel ist das Prinzip Default Deny: Was nicht ausdrücklich erlaubt ist, wird gesperrt. Das ist sicherer, als alles zu erlauben und einzelne Dinge zu sperren, weil du nur kennen musst, was du brauchst, und nicht, was alles schiefgehen könnte.

Jede Regel ist im Grunde eine UND-Verknüpfung: Die Quelle muss passen und das Ziel und der Dienst, dann greift die Aktion. Das kennst du aus dem Beitrag UND, ODER, NICHT.

Weitere Geräte, die dir begegnen

Gerät	Aufgabe
Modem oder ONT	Verbindet dein Netz mit dem Provider (DSL-Modem, Kabelmodem oder bei Glasfaser der optische Netzabschluss ONT)
Medienkonverter	Wandelt zwischen Kupfer und Glasfaser
Patchpanel	Passiver Verteiler im Netzwerkschrank, kein aktives Gerät
WLAN-Controller	Verwaltet mehrere Access Points zentral

Praxisbeispiel: Wer macht was in der kleinen Firma?

Zurück zu unserer Firma mit zehn Arbeitsplätzen. Vom Internet kommt die Leitung zum Modem oder ONT, dahinter sitzen Router und Firewall, dann folgt der Switch, an dem Arbeitsplätze, Server, Drucker und der Access Point hängen.

Was passiert?	Welche Geräte sind beteiligt?
Mitarbeiterin speichert eine Datei auf dem Server	Nur der Switch. Absender und Ziel liegen im selben Netz
Mitarbeiter ruft eine Webseite auf	Switch, Router und Firewall, dann das Modem. Die Firewall prüft den Verkehr gegen die Regeln
Gast surft im Gäste-WLAN	Access Point, Switch, dann Router und Firewall. Eine Regel verhindert den Zugriff auf interne Server

Die Geräte im Alltag untersuchen

Mit ein paar Befehlen siehst du, was die Geräte tun. Zuerst die Routing-Tabelle deines Rechners. Sie zeigt, wohin dein Rechner Pakete schickt. Unter Windows lautet der Befehl:

route print

Unter Linux verwendest du:

ip route

In der Ausgabe suchst du die Zeile mit der Standardroute (default oder 0.0.0.0). Dahinter steht die Adresse deines Standardgateways, also deines Routers. Welche MAC-Adressen dein Rechner in der Umgebung gelernt hat, zeigt dieser Befehl, der unter Windows und Linux funktioniert:

arp -a

Dort findest du auch die MAC-Adresse deines Routers, den dein Rechner gerade angesprochen hat. Wie das Zusammenspiel von MAC und IP funktioniert, ist Thema des nächsten Beitrags.

Auf einem Cisco-Switch mit Verwaltungszugang zeigt dir dieser Befehl die MAC-Adresstabelle:

show mac address-table

Er zeigt, welche MAC-Adresse an welchem Port gelernt wurde. Auf Switches anderer Hersteller heißt der Befehl teils anders.

Eine Firewall-Regel unter Linux

Mit ufw richtest du auf einem Ubuntu- oder Debian-Rechner eine einfache Host-Firewall ein. Achtung: Wenn du den Rechner über SSH verwaltest, musst du zuerst SSH erlauben, sonst sperrst du dich selbst aus.

sudo ufw allow 22/tcp
sudo ufw allow 443/tcp
sudo ufw default deny incoming
sudo ufw enable

Die ersten beiden Zeilen erlauben eingehende Verbindungen auf Port 22 (SSH) und Port 443 (HTTPS). Die dritte Zeile setzt Default Deny für alles andere Eingehende, und die letzte schaltet die Firewall ein. Mit sudo ufw status prüfst du den Stand.

Typische Fehler und Missverständnisse

• Switch und Router verwechseln. Ein Switch verbindet Geräte innerhalb eines Netzes, ein Router verbindet verschiedene Netze.
• Switch mit Hub gleichsetzen. Ein Hub schickt alles an alle, ein Switch nur an den richtigen Port.
• „Access Point ist ein Router.“ Ein Access Point bringt nur WLAN in ein bestehendes Netz. Er vergibt in der Regel keine Adressen und verbindet nicht mit dem Internet.
• Zwei Router hintereinander. Wer hinter einem Router einen zweiten als Router betreibt, erzeugt ein doppeltes NAT. Das führt zu Verbindungsproblemen, etwa bei Spielen oder VPN. Als reiner Access Point konfiguriert, vermeidest du das.
• Firewall ersetzt den Virenschutz. Sie filtert Verbindungen. Schadsoftware, die du selbst herunterlädst, erkennt eine einfache Firewall nicht.
• Regelreihenfolge ignorieren. Steht eine allgemeine Erlauben-Regel vor einer speziellen Sperre, greift die Sperre nie.

Zum Üben

1. Welches Gerät trifft seine Entscheidung anhand der MAC-Adresse, welches anhand der IP-Adresse?
2. Ein Switch bekommt einen Rahmen, dessen Ziel-MAC er nicht kennt. Was macht er?
3. Ein Paket vom internen Netz ins Internet auf TCP 25 trifft auf die Firewall-Regeln aus dem Text. Wie wird es behandelt?
4. Was bedeutet Default Deny, und warum ist es sinnvoll?
5. Nenne drei Funktionen, die ein Heimrouter zusätzlich zum Routing übernimmt.
6. Worin unterscheiden sich Access Point und Repeater?

Lösungen: (1) Der Switch nutzt die MAC-Adresse, der Router die IP-Adresse. (2) Er flutet den Rahmen an alle anderen Ports. (3) Regel 1 bis 3 passen nicht (TCP 25 ist keiner der Dienste), Regel 4 sperrt alles. Das Paket wird verworfen. (4) Alles, was nicht ausdrücklich erlaubt ist, wird gesperrt. Das ist sicherer, weil du nur das Nötige freigeben musst. (5) Zum Beispiel DHCP, NAT, DNS-Weiterleitung, WLAN und Firewall. (6) Ein Access Point hängt per Kabel am Netz und bringt WLAN dorthin. Ein Repeater verstärkt ein bestehendes WLAN per Funk und kann dabei die Datenrate verringern.

Das solltest du dir merken

• Der Switch verbindet Geräte in einem Netz und leitet anhand der MAC-Adresse gezielt an den richtigen Port.
• Der Router verbindet Netze und entscheidet anhand der IP-Adresse. Für deine Geräte ist er das Standardgateway.
• Der Access Point ist die Brücke zwischen Funk und Kabel.
• Die Firewall filtert Verkehr nach Regeln. Die erste passende Regel gilt, am Ende steht idealerweise Default Deny.
• Ein Heimrouter vereint Router, Switch, Access Point und Firewall in einem Gehäuse.

Damit Switch und Router wissen, wohin sie Daten schicken sollen, brauchen Geräte Adressen. Im nächsten Beitrag lernst du die beiden wichtigsten kennen: MAC-Adresse und IP-Adresse.