Zurück zu NetBlade anleitung

Ihr Netzwerk verstehen — und etwas daraus machen

NetBlade ist für Menschen gebaut, die Netzwerke betreuen, aber ein Heimnetz und das Netz eines kleinen Büros folgen denselben Regeln. Diese Anleitung erklärt die wenigen Begriffe, auf die es ankommt, was SNMP ist und warum es alles verändert, wie sich Windows- und Linux-Rechner auslesen lassen und was konkret zu tun ist für ein schnelleres, sichereres Netz. Vorkenntnisse werden nicht vorausgesetzt.

01glossar

Die Begriffe, auf die es ankommt — ohne Fachjargon

Acht Begriffe genügen, um jede NetBlade-Ansicht zu lesen und zu verstehen, was im Netz gerade passiert.

IP-Adresse: Die Nummer, unter der ein Gerät im Netz gefunden wird, etwa 192.168.1.14. Zu Hause ist sie privat und gilt draußen nicht: nach außen sichtbar ist nur eine einzige, die des Routers.
Subnetz und /24: Der Zaun, innerhalb dessen Geräte direkt miteinander sprechen. 192.168.1.0/24 heißt "alle Adressen von 192.168.1.1 bis 192.168.1.254" — genau die, die NetBlade beim Scan eine nach der anderen ausprobiert.
Gateway: Das Gerät, das den Verkehr aus dem Subnetz hinausträgt: zu Hause der Router. Antwortet das Gateway nicht, ist nicht das Internet langsam — der erste Schritt ist kaputt.
MAC und Hersteller (OUI): Die physische Adresse der Netzwerkkarte, ab Werk eingetragen. Die ersten drei Bytes sagen, wer sie gebaut hat: so wird aus einer anonymen IP ein "HP-Drucker" oder eine "Hikvision-Kamera".
DHCP und Lease: Der Router vergibt Adressen nur geliehen, auf Zeit. Deshalb kann ein Gerät über Nacht die IP wechseln, und deshalb erkennt man Dinge besser an der MAC als an der Adresse.
Port und Dienst: Ein Gerät kann mehrere Dienste unter derselben Adresse anbieten: der Port sagt, an welchen Sie klopfen. 22 ist SSH, 80 und 443 das Web, 445 die Windows-Dateifreigabe, 9100 der Direktdruck. Ein "offener" Port ist ein lauschender Dienst — und jeder lauschende Dienst ist etwas, das angegriffen werden kann.
ARP und Nachbarschaft: Die Tabelle, die IP-Adresse und Hardware-Adresse im selben Netz verbindet. Android lässt Apps hineinsehen, iOS nicht: das ist der technische Grund für den wichtigsten Unterschied zwischen beiden Versionen.
Latenz, Jitter und Verlust: Wie lange eine Antwort braucht, wie stark diese Zeit schwankt und wie viele Pakete gar nicht zurückkommen. Ein stockender Videoanruf ist fast nie "langsames Internet": meist sind es Jitter oder Verluste im WLAN.

02protokoll

SNMP, erklärt für alle, die davon nicht leben

SNMP ist die Sprache, in der Netzwerkgeräte Fragen über sich selbst beantworten. Es ist alt, es ist überall, und fast niemand zu Hause weiß, dass er es längst hat.

Der Name steht für Simple Network Management Protocol, und genauso einfach arbeitet es: jede Information, die ein Gerät über sich kennt, hat eine numerische Adresse; Sie fragen diese Adresse ab, das Gerät antwortet mit dem Wert. Nichts zu installieren, kein Konto — Router, verwaltete Switches, Drucker, NAS-Systeme, USV-Anlagen, Kameras und die meisten Server sprechen es bereits.

Der praktische Unterschied: ohne SNMP kann ein Scan nur an Ports klopfen und schließen. Mit SNMP sagt es das Gerät selbst — Modell, Firmware-Stand, Betriebsdauer, Tonerfüllstand, freier Speicher, welche Hardware-Adressen es an welchem Port sieht.

Was dabei wirklich herauskommt

Vom Router: die Tabelle der Hardware-Adressen, also Name und Hersteller von allem, was angeschlossen ist — auf dem iPhone der einzige Weg dorthin.
Von einem verwalteten Switch: welches Gerät an welchem Port hängt und wie viel Verkehr darüber läuft. Das ist der Unterschied zwischen einer Adressliste und einer Karte des Netzes.
Von einem Drucker: Modell, Seitenzähler und Tonerstand, ohne aufzustehen.
Von einem NAS oder Server: freier Speicher, CPU-Last, Zustand der Schnittstellen.
Von einer USV: Ladezustand und verbleibende Laufzeit.

Die Versionen, in zwei Zeilen

v1 und v2c: der Zugang ist durch ein einziges Wort geschützt, die Community, die im Klartext übertragen wird. Fast immer lautet sie public, nur lesend. Im Haus völlig in Ordnung, nach außen niemals.
v3: Benutzer, Authentifizierungspasswort und verschlüsselter Verkehr. Wenn das Gerät sie unterstützt, ist sie die richtige Wahl — NetBlade spricht sie, mit MD5 oder SHA zur Authentifizierung und DES oder AES für die Vertraulichkeit.

So schalten Sie es ein, Gerät für Gerät

Heimrouter: Administrationsseite, Bereich Erweitert oder Verwaltung, Eintrag SNMP. Viele Handelsmodelle haben es; manche Provider-Router nicht, dann ist nichts zu machen.
Synology-NAS: Systemsteuerung › Terminal & SNMP › SNMP-Dienst aktivieren. Bei QNAP: Systemsteuerung › Netzwerk- und Dateidienste › SNMP.
Drucker: Weboberfläche des Druckers, Bereich Netzwerk, SNMP. Oft ab Werk aktiv.
Verwaltete Switches: in der Konfiguration unter SNMP; eine nur lesende Community setzen und, wenn vorhanden, v3 bevorzugen.
Windows und Linux: unter Windows ist es ein optionales Feature, unter Linux das Paket snmpd. Für Computer liefert das Inventar über WinRM oder SSH allerdings weit mehr.

Drei Regeln, um sich nicht zu schaden

Ändern Sie die Werks-Community, wo das Gerät es zulässt, und halten Sie sie nur lesend: schreibend kann SNMP auch die Konfiguration ändern.
Öffnen Sie Port 161/UDP niemals ins Internet. SNMP im Netz ist ein Werkzeug, nach außen freigegeben ist es ein Geschenk.
Die Zugangsdaten, die Sie NetBlade geben, bleiben verschlüsselt auf dem Telefon und werden an niemanden gesendet.

Warum NetBlade darauf setzt

Weil es die einzige Quelle ist, die nicht rät. Ein Ping sagt, dass etwas antwortet, ein offener Port legt einen Dienst nahe: SNMP dagegen berichtet, was das Gerät über sich selbst weiß. Auf dem iPhone, wo das System die Hardware-Adressen der Nachbarn nicht preisgibt, ist es zudem der einzige Weg zu erfahren, wer die Geräte in der Liste wirklich sind. Am Router einschalten — den Rest erledigt die App.

03windows

Einen Windows-PC auslesbar machen

NetBlade installiert nichts auf Ihren Rechnern: es meldet sich mit den Zugangsdaten an, die Sie ihm geben, und liest. Wie viel es lesen kann, hängt davon ab, was der PC abfragen lässt — und das entscheiden zwei Befehle, einmalig auf dem PC in PowerShell als Administrator ausgeführt.

Ohne etwas zu ändern: was SMB hergibt

Mit einem Administratorkonto dieses PCs und aktiver Dateifreigabe erzählt Windows bereits einiges: Rechnername, Edition und exakter Build, Laufwerke mit freiem Speicher, Benutzerprofile, Freigaben und installierte Programme, direkt aus den Binärdateien gelesen — die genaueste Art zu erfahren, welche Version wirklich läuft.

Der Befehl, der alles Weitere öffnet

Hardware, Prozessor, Speicher, BIOS-Seriennummer, laufende Dienste, installierte Updates, Virenschutz und ob er wirklich läuft, Firewall Profil für Profil, BitLocker, TPM, lokale Konten und Autostart kommen aus WinRM, dem Fernverwaltungsdienst, den Windows abgeschaltet ausliefert. So wird er aktiviert und öffnet Port 5985 nur in als privat eingestuften Netzen:

winrm quickconfig

Wenn Laufwerke und Administratoren fehlen (PC in einer Arbeitsgruppe)

Auf einem PC ohne Domäne gibt Windows lokalen Konten über das Netz ein gefiltertes Token: das Passwort stimmt, die administrative Freigabe wird trotzdem verweigert. Dieser Registry-Schlüssel hebt das auf — oder Sie verwenden das eingebaute Administrator-Konto, für das der Filter nicht gilt:

New-ItemProperty -Path ‘HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System’ -Name LocalAccountTokenFilterPolicy -PropertyType DWord -Value 1 -Force

Wenn etwas nicht antwortet

Keine Antwort auf Port 445: der PC ist aus, in einem anderen Netz, oder sein Firewall-Profil steht auf Öffentlich. Stellen Sie es auf Privat und erlauben Sie Datei- und Druckerfreigabe.
Benutzername oder Passwort abgelehnt: in der Domäne Domäne und Benutzername verwenden, in der Arbeitsgruppe ein lokales Konto mit leerem Domänenfeld. Ein Konto ohne Passwort darf sich über das Netz grundsätzlich nicht anmelden.
Lokale Gruppen nicht lesbar: Windows schränkt die Fernabfrage von Konten ein (RestrictRemoteSAM). Der Rest des Inventars bleibt davon unberührt.
Auf iPhone und iPad führt nur WinRM zum Ziel, der erste Befehl ist also der entscheidende; installierte Programme werden aus der Registry statt aus den Binärdateien gelesen.

NetBlade ändert nichts an Ihren PCs: diese Befehle führen Sie selbst aus, wann und ob Sie wollen — und können sie jederzeit rückgängig machen.

04linux

Einen Linux-Rechner vorbereiten

Hier braucht es nichts Besonderes: der SSH-Server genügt, und fast jede Distribution hat ihn schon laufen. NetBlade verbindet sich, führt eine Handvoll Lesebefehle aus und trennt wieder.

Prüfen, ob SSH lauscht: auf dem Rechner systemctl status ssh (oder sshd). Fehlt er, wird er über die Paketverwaltung der Distribution installiert.
Ein normales Konto verwenden, nicht root: die Lesevorgänge des Inventars brauchen keine Rechte.
Passwort oder Schlüssel, wie Sie mögen: die Zugangsdaten bleiben verschlüsselt auf dem Telefon und lassen sich an den einzelnen Rechner oder an das gespeicherte Netz binden.
Kein sudo, keine Schreibzugriffe: NetBlade liest Distribution, Kernel, Hostname, Betriebsdauer, CPU, Speicher, Laufwerke, Pakete, Dienste und Schnittstellen. Jeder Befehl sichert sich selbst ab — fehlt ein Werkzeug in dieser Distribution, bleibt das Feld leer, statt die Abfrage scheitern zu lassen.

Wird die Verbindung abgelehnt, ist fast immer der SSH-Server aus oder der Port ein anderer als 22; ändert sich der Fingerabdruck des Hostschlüssels, hält NetBlade an und sagt es Ihnen, statt weiterzumachen.

05praxis

Sieben Schritte zum Besten aus Ihrem Netzwerk

Der Reihe nach: vom ersten Scan bis zum Netz, das selbst meldet, wenn sich etwas ändert.

Ersten Scan machen und den Dingen Namen geben

Namen, Notizen, Symbole und Tags bleiben gespeichert. Was ohne Namen bleibt, ist genau das, was eine Prüfung verdient: in einem normalen Haushalt sind die Unbekannten drei oder vier, nicht zwanzig.

Das Netz speichern

Von da an unterscheidet NetBlade ein neues Gerät von einem, das immer da war, und die Zeitleiste führt Buch darüber, wer kam und wer verschwand.

SNMP am Router einschalten

Der Schritt, der alles andere schärfer macht: Hersteller, Hardware-Adressen und, bei einem verwalteten Switch, die Karte, was an welchem Port hängt.

Offene Ports der dauerhaft eingeschalteten Geräte ansehen

NAS, Kameras, Drucker, Haustechnik. Jeder lauschende Dienst, den Sie nicht nutzen, ist nur Angriffsfläche: im Gerät selbst abschalten.

Den Router prüfen

Werkspasswort, vergessene Portfreigaben, UPnP, das von selbst Ports öffnet. Die Sicherheit des Routers ist die Sicherheit von allem dahinter.

Messen, während das Problem auftritt

Der Latenzmonitor trennt in einer Minute die langsame Leitung vom langsamen WLAN: wenn schon der Ping zum Router schwankt, liegt es nicht am Anbieter.

Unter Android den WLAN-Kanal wählen und die Abdeckung messen

Die Analyse zeigt, wie voll jede Frequenz ist, und die Messung Raum für Raum sagt, wo ein Repeater wirklich nötig ist — statt ihn auf Verdacht zu kaufen.

NetBlade laden und im eigenen Netz ausprobieren

Gratis, ohne Konto, und die Scans bleiben auf dem Gerät.

Google Play App Store Bald