Troubleshooting „Ping geht, App nicht“: Routing vs. MTU vs. Firewall

In modernen Netzwerken tritt häufig das Phänomen auf, dass ein Ping erfolgreich ist, während Anwendungen keine Verbindung aufbauen können. Dieses Verhalten signalisiert, dass die grundlegende IP-Konnektivität zwar vorhanden ist, jedoch andere Faktoren den Datenverkehr der Applikationen behindern. Typische Ursachen sind fehlerhafte Routing-Konfigurationen, MTU-Probleme oder restriktive Firewall-Regeln. In diesem Tutorial zeigen wir praxisnah, wie Netzwerkingenieure solche Probleme identifizieren und systematisch lösen können.

Symptome analysieren: Ping erfolgreich, App scheitert

Wenn ein Ping erfolgreich ist, bedeutet dies, dass ICMP-Pakete zwischen zwei Endpunkten korrekt weitergeleitet werden. Anwendungen nutzen jedoch andere Protokolle (TCP/UDP) und größere Paketgrößen, was zu Problemen führen kann. Eine sorgfältige Analyse der Symptome ist der erste Schritt im Troubleshooting.

Typische Hinweise

• Ping zu einem Ziel funktioniert, aber HTTP, HTTPS oder Datenbankverbindungen schlagen fehl.
• Verbindungen zu bestimmten Ports oder Services sind instabil oder werden abgebrochen.
• Teilweise Probleme nur bei bestimmten MTU-Größen oder über VPN-/Tunnel-Verbindungen.

Routing-Probleme erkennen und beheben

Falsches Routing ist eine der häufigsten Ursachen, warum Anwendungen nicht erreichbar sind, obwohl der Ping funktioniert. ICMP-Pakete sind klein und werden oft durch Routing-Pfade geleitet, die für größere TCP-Pakete nicht optimal sind.

Prüfen der Routing-Tabelle

Verifizieren Sie die Pfade zu den betroffenen Zielen. Bei Cisco-Routern kann dies über das CLI erfolgen:

show ip route
show ipv6 route
traceroute <ziel-ip>

Achten Sie auf:

• Mehrere gleichwertige Routen, die zu asymmetrischem Routing führen könnten.
• Default-Route oder spezifische Routen, die die Anwendungspakete nicht erreichen.
• Eventuelle Redistribution zwischen Routing-Protokollen, die falsche Next-Hops erzeugt.

Asymmetrisches Routing identifizieren

Asymmetrisches Routing kann dazu führen, dass eine Verbindung aufgebaut wird, aber Antworten den Rückweg nicht korrekt finden. Tools wie traceroute oder tcpdump helfen, die Pfade zu überprüfen:

traceroute <ziel-ip>
tcpdump -i <interface>> host <ziel-ip>

MTU- und Fragmentierungsprobleme

Die Maximum Transmission Unit (MTU) bestimmt die maximale Paketgröße, die über ein Netzwerksegment übertragen werden kann. Überschreiten Pakete die MTU, müssen sie fragmentiert werden, oder sie werden verworfen, wenn “Don’t Fragment” (DF) gesetzt ist. Dies kann dazu führen, dass ICMP-Pakete klein genug sind, um erfolgreich anzukommen, während größere TCP/UDP-Pakete scheitern.

MTU prüfen und testen

• Auf Routern:

  show interface <interface>

  zur Anzeige der MTU.

• Ping-Test mit DF-Flag auf Windows/Linux:

ping <ziel-ip> -f -l <größe>  (Windows)
ping <ziel-ip> -M do -s <größe>  (Linux)

• MTU-Anpassungen an Routern oder Firewalls prüfen, speziell bei VPNs oder Tunnelverbindungen.

Typische MTU-Fallen

• VPN-Tunnel mit kleinerer MTU als das physische Interface.
• Fragmentierung durch Firewalls, die ICMP-Fragmentation-Needed blockieren.
• Overlay-Netzwerke (GRE, VXLAN) mit reduzierter Payload-Kapazität.

Firewall und ACL prüfen

Firewalls und Access Control Lists (ACLs) sind weitere Ursachen, warum Applikationen nicht funktionieren. ICMP-Ping wird oft explizit erlaubt, während TCP/UDP-Verbindungen auf den Applikationsports blockiert sein können.

Firewall-Regeln analysieren

• Prüfen Sie ACLs auf Routern oder Switches:

show access-lists
show run | include access-list

• Überprüfen Sie Firewall-Regeln, die die Applikationsports betreffen.
• Achten Sie auf Stateful-Firewalls: Antworten auf neue Verbindungen werden nur erlaubt, wenn die Verbindung initiiert wurde.

Logging aktivieren

Für die Diagnose können Logging und Debugging aktiviert werden:

debug ip packet detail
show logging
tail -f /var/log/firewall.log

So erkennen Sie, ob Pakete verworfen oder abgelehnt werden.

Systematische Troubleshooting-Strategie

Ein methodischer Ansatz hilft, die Ursache effizient einzugrenzen:

• Schritt 1: Prüfen der Routing-Tabelle und Pfade mit traceroute.
• Schritt 2: Testen der MTU mit DF-Ping und Anpassung der Interfaces bei Bedarf.
• Schritt 3: Überprüfen von ACLs und Firewall-Regeln auf Blockierungen von Applikationsports.
• Schritt 4: Logging aktivieren, um gezielte Paketverluste zu identifizieren.
• Schritt 5: Mit einem Testclient die Applikation erneut prüfen.

Praktische CLI-Beispiele

Einige nützliche CLI-Befehle für Cisco-Router/Switches:

show ip route <ziel-netz>
traceroute <ziel-ip>
ping <ziel-ip> size 1472 df-bit
show access-lists
show run | include access-list
debug ip packet detail

Zusammenfassung der wichtigsten Punkte

• Ping allein ist kein Beweis für funktionierende Anwendungen – MTU und Firewall müssen geprüft werden.
• Routing-Probleme verursachen oft asymmetrische Pfade, die App-Traffic blockieren.
• MTU-Probleme treten häufig bei VPNs, Tunneln oder Overlay-Netzwerken auf.
• Firewall- und ACL-Regeln blockieren gezielt Applikationsports trotz ICMP-Konnektivität.
• Systematisches Troubleshooting mit Routing-Checks, MTU-Tests und Logging ist entscheidend.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

• Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)

• Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)

• Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation

• Optional Security: Basic ACLs und SSH-Hardening

• Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)

Sie erhalten

• ✅ Packet Tracer .pkt Datei

• ✅ Saubere Konfigurations-Notizen pro Gerät

• ✅ Verifikations-Checkliste + erwartete Outputs

• ✅ Kurze Dokumentation (wie die Topologie funktioniert)

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.