Das OSI-Modell: 7 Schichten erklärt
Das OSI-Modell teilt die Netzwerkkommunikation in sieben Schichten auf, vom physischen Kabel (Schicht 1) bis zur Anwendung (Schicht 7). Jede Schicht hat genau eine Aufgabe und spricht nur mit den direkt darüber und darunter liegenden Schichten. Das Modell ist ein Lern- und Fehlersuchwerkzeug; das reale Internet verwendet das einfachere vierschichtige TCP/IP-Modell.
Die sieben Schichten
Auf der Senderseite werden die Daten durch die Schichten nach unten gereicht, und jede Schicht fügt ihren eigenen Header hinzu. Das nennt man Kapselung (Encapsulation). Der Empfänger entfernt die Header in umgekehrter Reihenfolge. Die Dateneinheit jeder Schicht heißt PDU (Protocol Data Unit).
| Schicht | Name | PDU | Beispielprotokolle | Typische Geräte |
|---|---|---|---|---|
| 7 | Anwendung | Daten | HTTP, DNS, SMTP, SSH | Proxy, Application-Firewall |
| 6 | Darstellung | Daten | TLS (teilweise), Zeichenkodierungen, MIME | - |
| 5 | Sitzung | Daten | RPC, NetBIOS-Sitzung, TLS (teilweise) | - |
| 4 | Transport | Segment (TCP) oder Datagramm (UDP) | TCP, UDP | Firewall, Load Balancer |
| 3 | Vermittlung | Paket | IP, ICMP, OSPF | Router, Layer-3-Switch |
| 2 | Sicherung | Frame | Ethernet, WLAN (802.11), ARP | Switch, Access Point |
| 1 | Bitübertragung | Bit | Ethernet-Verkabelung, Glasfaser, Funk | Kabel, Hub, Repeater |
OSI im Vergleich zu TCP/IP
Das TCP/IP-Modell hat vier Schichten und entspricht dem, wie Protokolle tatsächlich entwickelt wurden. Die Zuordnung ist näherungsweise:
| TCP/IP-Schicht | OSI-Schichten |
|---|---|
| Anwendung | 7, 6, 5 |
| Transport | 4 |
| Internet | 3 |
| Netzzugang | 2, 1 |
Manche Bücher stellen TCP/IP mit fünf Schichten dar und teilen die Netzzugangsschicht in Sicherung und Bitübertragung. Im Alltag spricht man weiterhin mit OSI-Nummern von einem „Layer-2-Switch“ oder einer „Layer-7-Firewall“, daher ist es nützlich, beide Modelle zu kennen.
Was passiert, wenn Sie eine Website öffnen
Stellen Sie sich vor, Sie geben https://example.com in Ihren Browser ein.
- Schicht 7: Der Browser braucht eine Adresse und sendet deshalb eine DNS-Anfrage für example.com. Später sendet er eine HTTP-Anfrage.
- Schicht 6/5: Ein TLS-Handshake handelt die Verschlüsselungsschlüssel aus und prüft das Serverzertifikat.
- Schicht 4: TCP öffnet mit einem Drei-Wege-Handshake (SYN, SYN-ACK, ACK) eine Verbindung zu Port 443 und zerlegt die Daten in Segmente.
- Schicht 3: IP schreibt Quell- und Zieladresse in die Pakete. Router leiten sie Hop für Hop weiter.
- Schicht 2: Auf jeder Teilstrecke wird das Paket mit MAC-Adressen in einen Frame gepackt. In IPv4-Netzen ermittelt ARP die MAC-Adresse des nächsten Hops.
- Schicht 1: Der Frame wird zu elektrischen Signalen, Lichtimpulsen oder Funkwellen.
Auf dem Server laufen dieselben Schritte in umgekehrter Reihenfolge ab, von Schicht 1 bis Schicht 7.
Welche Schicht prüft welches Tool?
Jede Netzwerkprüfung belegt, dass die Schichten bis zu einem bestimmten Punkt funktionieren. Die Tabelle zeigt, wo unsere Tools einzuordnen sind.
| Tool | Schicht | Was es belegt |
|---|---|---|
| Ping | 3 (ICMP) | Der Host ist auf IP-Ebene erreichbar, und wie lange ein Hin- und Rückweg dauert |
| Traceroute | 3 | Welche Router auf dem Pfad liegen und wo Verzögerung oder Verlust beginnt |
| Port-Checker | 4 (TCP) | Eine TCP-Verbindung zu einem bestimmten Port kann geöffnet werden |
| SSL-Checker | 6/5, über 4 | Der TLS-Handshake funktioniert und das Zertifikat ist gültig |
| HTTP-Header | 7 | Der Webserver antwortet und welchen Status und welche Header er sendet |
| DNS-Checker | 7 | Nameserver liefern die erwarteten Einträge |
Drei Details erfordern Sorgfalt:
- TLS passt in keine einzelne Schicht. Im OSI-Modell wird es oft in Schicht 6 (Verschlüsselung und Darstellung), manchmal in Schicht 5 (Sitzung) eingeordnet. Im TCP/IP-Modell ist es schlicht Teil der Anwendungsschicht und läuft auf TCP. Für die Fehlersuche genügt es zu wissen, dass TLS nach TCP und vor HTTP arbeitet.
- Ping kann bei einem funktionierenden Host fehlschlagen. Viele Firewalls verwerfen ICMP-Echo-Anfragen. Ein fehlgeschlagener Ping bedeutet nicht immer, dass der Host ausgefallen ist; prüfen Sie daher auch den Port. Außerdem nutzt Traceroute das TTL-Feld in IP-Paketen und ICMP-Time-Exceeded-Antworten, und manche Router antworten nicht, was in der Ausgabe als Lücke erscheint.
- DNS läuft auf Schicht 7, obwohl es vor allem anderen gebraucht wird. Es nutzt normalerweise UDP-Port 53 und TCP-Port 53 für große Antworten und Zonentransfers.
Fehlersuche von unten nach oben
Eine zuverlässige Methode ist, bei Schicht 1 zu beginnen und nach oben zu gehen. Jeder Schritt schließt eine ganze Gruppe möglicher Ursachen aus.
- Schicht 1: Ist das Kabel eingesteckt, das WLAN eingeschaltet, die Link-LED an?
- Schicht 2: Hat das Gerät eine Verbindung zum Switch oder Access Point? Stimmt das VLAN? Prüfen Sie auf doppelte MAC-Adressen oder ein falsches WLAN-Passwort.
- Schicht 3: Hat das Gerät eine gültige IP-Adresse, Maske und ein Gateway? Kann es das Gateway anpingen und dann eine externe Adresse wie
192.0.2.1? Nutzen Sie Traceroute, wenn der Pfad auf halber Strecke abbricht. Häufige Adressierungsfehler behandeln Was ist eine IP-Adresse? und Subnetting. - Schicht 4: Ist der Port offen und nicht von einer Firewall blockiert? Siehe Well-Known Ports.
- Schicht 5-6: Gelingt der TLS-Handshake? Achten Sie auf ein abgelaufenes Zertifikat, einen falschen Namen oder eine nicht unterstützte Protokollversion.
- Schicht 7: Wird der Name aufgelöst, und liefert die Anwendung eine korrekte Antwort?
In der Praxis können Sie auch von oben nach unten vorgehen oder das Problem in der Mitte teilen: Funktioniert ein Port-Check, sind die Schichten 1 bis 4 in Ordnung, und Sie können sich auf die Anwendung konzentrieren.