Spiele-Server im Schulnetz: Warum von außen nichts ankommt
Der Informatikkurs betreibt im Raum 204 einen Spiele-Server auf einem Rechner mit der IP 10.20.30.40/24, Gateway 10.20.30.1. Das Schulnetz hängt über einen NAT-Router mit der öffentlichen Adresse 217.0.0.5 am Internet; die Firewall lässt nur ausgehend aufgebaute Verbindungen zurück. Schüler im Schul-WLAN (eigenes VLAN 10.20.40.0/24) erreichen den Server auf Port 25565 problemlos, Zugriffe von zu Hause laufen dagegen in einen Timeout. Nach einem Lease-Wechsel antwortet der Server unter seinem bisherigen Namen nicht mehr, weil die Namensauflösung über eine hosts-Datei auf den Clients erfolgt. Ein Vater beschwert sich, die Schule blockiere „einfach alles“. Die Schulleitung fragt, ob man den Server „einfach nach außen öffnen“ könne und ob dafür ein VPN nötig sei. Der Server läuft noch mit einer Java-Version von 2019, Updates wurden nie eingespielt.
1. Erklären Sie den Timeout von zu Hause aus technisch und leiten Sie daraus die Maßnahmen ab, die für eine Erreichbarkeit nötig wären. Warum ist ein Ping vom Heimrechner kein geeigneter Nachweis, dass „nichts geht“?
Read the worked answer
10.20.30.40 liegt im privaten Bereich (RFC 1918) und ist im Internet nicht routbar. Ein Client zu Hause schickt sein SYN an 217.0.0.5:25565. Entscheidend ist die Richtung: Der NAT-Router legt seine Übersetzungstabelle nur an, wenn eine Verbindung von innen nach außen aufgebaut wird. Für ein von außen kommendes Paket existiert kein Eintrag, und die Firewall verwirft es zusätzlich, weil nur Zustände aus ausgehenden Verbindungen erlaubt sind. Der Client sieht deshalb keinen RST, sondern gar nichts – genau das erzeugt den Timeout.
Nötig wären drei Dinge:
- Portweiterleitung (DNAT) auf dem Router: 217.0.0.5:25565 → 10.20.30.40:25565, dauerhaft und nur für TCP.
- Firewall-Regel, die eingehende Verbindungen auf genau diesen Port erlaubt (Zustandsfilterung für die Rückrichtung).
- Umgang mit der dynamischen öffentlichen Adresse: Ein DDNS-Eintrag oder eine feste IP, sonst wechselt 217.0.0.5 und die Freigabe läuft ins Leere.
Der interne Zugriff aus 10.20.40.0/24 funktioniert, weil dort nur zwischen VLANs geroutet wird, ohne NAT und ohne Firewallblockade – das ist ein wichtiger Unterschied zu „Server ist kaputt“.
Ping: ICMP kann unabhängig von TCP gefiltert sein. Ein fehlgeschlagener Ping beweist weder, dass der Port zu ist, noch dass die DNAT-Regel falsch ist; umgekehrt kann ein antwortender Ping bei geschlossenem Port 25565 erscheinen. Man testet mit telnet/nc -vz gegen den Port, von innen und von außen getrennt.
2. Die Schulleitung schwankt zwischen Portfreigabe und VPN. Beurteilen Sie beide Varianten unter Sicherheits- und Datenschutzaspekten und treffen Sie eine begründete Entscheidung für den Kursbetrieb.
Read the worked answer
Portfreigabe: Der Dienst steht weltweit jedem Scanner offen. Der Server läuft mit einer fünf Jahre alten Java-Version; bekannte Schwachstellen wären ausnutzbar, bevor irgendjemand im Kurs etwas merkt. Dazu kommen DDoS-Versuche und ein Log, das IP-Adressen aller Verbindungen speichert – bei einem Angebot, das auch Minderjährige nutzen, sind das personenbezogene Daten. Verantwortlich für den Betrieb ist die Schule, nicht der Kurs.
VPN (z. B. WireGuard): Nach außen ist nur der VPN-Port sichtbar, und der antwortet nicht auf falsche Schlüssel. Zugang nur mit individuellen Konten, jederzeit entziehbar, verschlüsselt. Der Server bleibt für Nichtmitglieder unsichtbar. Der Preis: Kontenverwaltung, Schlüsselverteilung, ein weiterer Dienst, der gepflegt werden muss – und auch Verbindungsmetadaten sind personenbezogene Daten, allerdings deutlich weniger und mit klarerem Zweck.
Entscheidung: VPN. Die Portfreigabe ist gegenüber dem Risiko unverhältnismäßig, weil der Nutzen (ein Kurs, wenige Stunden pro Woche) in keinem Verhältnis zum Angriffsfläche-Zuwachs steht. Unabhängig davon muss der Server aktualisiert oder besser durch eine gepflegte, schulisch begründete Umgebung ersetzt werden; ein Sicherheitskonzept, das nur auf „niemand kennt die IP“ setzt, ist keines.
3. Der Server ist nach dem Lease-Wechsel unter seinem alten Namen nicht mehr erreichbar. Bewerten Sie die drei Optionen hosts-Datei, DHCP-Reservierung und DNS-Eintrag und empfehlen Sie eine Lösung.
Read the worked answer
Die hosts-Datei ist die schlechteste Variante: Sie muss auf jedem Client gepflegt werden, veraltet stillschweigend, skaliert nicht auf 900 Geräte und widerspricht dem Gedanken zentraler Namensauflösung. Genau das beobachtet der Kurs jetzt.
DHCP-Reservierung bindet eine feste Adresse an die MAC des Servers. Das löst das Symptom, aber der Name bleibt uneinheitlich, und die Adresse ist weiterhin ein Implementierungsdetail, das in Clients hardcodiert wird. Zudem ist die Bindung an die MAC nur bei einem Server sinnvoll, dessen Hardware stabil bleibt.
DNS-Eintrag ist die eigentliche Lösung: Der Server bekommt eine feste Adresse – entweder als Reservierung oder statisch außerhalb des DHCP-Pools – und im internen DNS eine A-Record-Zone, z. B. mc.raum204.schule.intern. Clients nutzen dann nur den Namen. Ändert sich die Adresse später, ist eine einzige Zone anzupassen.
Empfehlung: statische Adresse außerhalb des DHCP-Bereichs plus A-Record im internen DNS, TTL klein halten. Für den Zugang von außen kommt derselbe Name in den DDNS-Eintrag, sodass intern und extern derselbe Name verwendet werden kann – das vermeidet zwei Wahrheiten und ist im Unterricht ein gutes Beispiel für die Trennung von Name und Adresse.