DNS-NXDOMAIN-Spike: Fehlkonfiguration oder Angriff?

Ein DNS-NXDOMAIN-Spike ist eines dieser Ereignisse, die im NOC sofort Alarm auslösen: Plötzlich steigt der Anteil an DNS-Antworten mit „NXDOMAIN“ (Non-Existent Domain) stark an, Nutzer melden „Webseiten gehen nicht“, und Dashboards zeigen ungewöhnliche Muster bei Query-Volumen und Fehlerraten. Gleichzeitig ist NXDOMAIN per se kein „kaputter DNS-Server“, sondern häufig eine legitime Antwort: Der abgefragte Name existiert…

HTTP 502/503/504: Upstream Down, Timeout oder Misroute unterscheiden

HTTP-Fehlercodes werden im Incident-Alltag oft als „App down“ abgetan, dabei sind sie ein sehr präzises Signal – wenn man sie richtig liest. Besonders die Kombination HTTP 502/503/504 sorgt in NOC- und On-Call-Teams regelmäßig für Verwirrung: Ist der Upstream wirklich ausgefallen, ist nur der Load Balancer überlastet, oder werden Requests schlicht falsch geroutet? Die Unterscheidung ist…

CDN/WAF-Issue: Sicherstellen, dass es L7 ist – nicht das Underlay

Ein „CDN/WAF-Issue“ wirkt im Incident oft wie ein klassisches Netzwerkproblem: Nutzer melden Timeouts, sporadische Verbindungsabbrüche oder „Access Denied“, während die Anwendungsteams schwören, dass ihre Services gesund sind. Genau an dieser Stelle passieren die teuersten Fehlentscheidungen: Das Underlay (physisches Netzwerk, Routing, Peering, Transit) wird eskaliert, obwohl die Ursache in Layer 7 liegt – in Caching, TLS-Terminierung,…

Rate Limiting vs. DDoS: Operativ erkennen via Logs + Traffic

Wenn Nutzer plötzlich 429-Fehler sehen, Login-Flows abbrechen oder APIs „sporadisch“ nicht mehr reagieren, steht ein Ops-Team oft vor derselben Kernfrage: Ist das schlichtes Rate Limiting (gewollt oder fehlkonfiguriert) – oder beginnt gerade ein DDoS, der die Systeme überrollt? Operativ ist diese Unterscheidung entscheidend, weil die nächsten Schritte komplett unterschiedlich sind: Bei Rate Limiting müssen Sie…

Layer 6: Abgelaufenes Zertifikat als „Netzwerk“-Incident – warum das passiert

Streaming unterbrochen. Es wird auf die vollständige Nachricht gewartet… Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte Cisco Networking • CCNA • Packet Tracer • Network Configuration Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt. Diese Dienstleistung…

Langsame Anwendung: Latenz-Breakdown (DNS→TCP→TLS→HTTP)

Eine langsame Anwendung ist selten „einfach langsam“. In modernen Umgebungen entsteht gefühlte Trägheit aus mehreren Teilstrecken: Namensauflösung (DNS), Verbindungsaufbau (TCP), Verschlüsselung (TLS) und eigentliche Anfrage/Antwort (HTTP). Genau hier setzt ein Latenz-Breakdown (DNS→TCP→TLS→HTTP) an: Statt pauschal das Netzwerk oder die Anwendung verantwortlich zu machen, zerlegen Sie die End-to-End-Zeit in messbare Komponenten. Das ist operativ wertvoll, weil…

TLS-Zertifikatsrotation: Operative Checkliste, damit es nicht wieder passiert

Zeitüberschreitung beim Senden der Nachricht. Bitte versuche es erneut. Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte Cisco Networking • CCNA • Packet Tracer • Network Configuration Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt. Diese Dienstleistung…

API-Gateway-Error: Symptome für die Triage aufs OSI-Modell mappen

Ein API-Gateway-Error wirkt im Incident häufig wie ein „einzelnes“ Problem – in Wirklichkeit ist er oft nur die sichtbare Oberfläche eines Fehlers, der in ganz unterschiedlichen Schichten entstehen kann: von einem instabilen Link (Layer 1) bis zu einer falschen Authentifizierung oder einem fehlerhaften Request-Format (Layer 7). Für ein NOC- oder Ops-Team ist deshalb nicht die…

Port-Exhaustion bei Client-NAT: Warum es passiert und wie man es mitigiert

Port-Exhaustion bei Client-NAT ist ein typisches Problem in Unternehmensnetzen, Campus-Umgebungen, Carrier-Access und Cloud-Edges: Nutzer melden „Internet langsam“, „Login geht nicht“, „nur manche Websites laden“, während klassische Layer-1–3-Signale unauffällig bleiben. Ursache ist häufig nicht Bandbreite, sondern ein Mangel an verfügbaren Quellports für die Network-Address-Translation (NAT). Sobald ein Client-NAT (z. B. ein Gateway, eine Firewall, ein Router…

Keepalive & Idle Timeout: Tuning ohne die App zu brechen

Keepalive & Idle Timeout gehören zu den Stellschrauben, die im Betrieb schnell „mal eben“ angepasst werden – und genau deshalb so häufig Incidents auslösen. Ein zu kurzer Idle Timeout kappt scheinbar stabile Verbindungen (VPN, API-Gateways, Datenbank-Pools, gRPC, WebSockets), während ein zu langer Timeout Ressourcen bindet (Conntrack, NAT-Ports, Session-Tabellen, File Descriptors) und damit Ausfälle durch Erschöpfung…