Welchen Port verwendet traceroute?
Kurzantwort
Fangfrage — es gibt keinen einzelnen traceroute-Port. Das klassische Unix-traceroute sendet UDP-Datagramme an hohe, unwahrscheinliche Ports ab etwa 33434 mit steigendem TTL; Windows tracert nutzt stattdessen ICMP Echo. Es funktioniert, indem es die ICMP-Time-Exceeded-Nachrichten liest, die Router beim Ablauf des TTL zurücksenden, nicht durch das Anvisieren eines reservierten Ports. Und ICMP selbst hat überhaupt keine Ports.
Diese Frage belohnt Kandidaten, die verstehen, wie traceroute funktioniert, statt jene, die sich eine Portnummer gemerkt haben. Die Prämisse — dass es einen einzigen „traceroute-Port“ gibt — ist die Falle.
Warum es keinen einzelnen Port gibt
Traceroute ist eine Technik, kein einzelner fester Protokollaustausch. Das ursprüngliche Unix-Werkzeug von Van Jacobson sendet UDP-Datagramme an einen bewusst unwahrscheinlichen, hohen Zielport, beginnend bei etwa 33434 und pro Sonde inkrementiert. Microsofts tracert hingegen sendet ICMP Echo Requests — und ICMP hat keine Ports, da Ports ein Konzept der Schicht 4 sind und ICMP auf Schicht 3 lebt. Viele moderne Werkzeuge können auch ein TCP-SYN an einen gewählten Port (oft 80 oder 443) verwenden, um an Firewalls vorbeizukommen. Die ehrliche Antwort lautet also „es hängt von der Implementierung ab“.
Der eigentliche Trick ist der TTL-Mechanismus
Der raffinierte Teil hat nichts mit dem Zielport zu tun. Traceroute sendet Pakete mit TTL = 1, dann 2, dann 3 und so weiter. Jeder Router, der den TTL auf null verringert, verwirft das Paket und sendet eine ICMP-Time-Exceeded-Nachricht (Typ 11) zurück. Durch das Sammeln der Quelladressen dieser Antworten rekonstruiert traceroute die Route Hop für Hop. Der letzte Hop wird erkannt, wenn die Sonde das Ziel tatsächlich erreicht: Eine UDP-Sonde an einen geschlossenen hohen Port löst ein ICMP Port Unreachable (Typ 3, Code 3) aus, das „wir sind angekommen“ signalisiert.
Warum die Distraktoren verlocken
Die falsche Antwort „TCP-Port 33434“ entlehnt den echten Unix-Basisport, heftet ihn aber an das falsche Protokoll. „ICMP-Port 30“ erfindet einen Port für ein Protokoll, das keinen hat. „UDP-Port 53“ spielt auf die echte Idee der Firewall-Umgehung an, schreibt sie aber fälschlich DNS zu.
Worauf Interviewer achten
Ein selbstbewusstes „es gibt keinen festen Port“ plus die Erklärung von TTL und Time Exceeded und idealerweise der Hinweis, dass sich Windows und Unix unterscheiden. Das zeigt, dass Sie den Mechanismus verstehen, nicht nur eine Trivia-Nummer.
Wahrscheinliche Anschlussfragen
- Wie deckt der TTL-Trick eigentlich jeden Hop entlang der Route auf?
- Warum können UDP-traceroute und ICMP-tracert auf derselben Route unterschiedliche Ergebnisse liefern?
- Was bedeutet es, wenn ein Hop als Sternchen (keine Antwort) erscheint?