6.3 Application Layer

Anwendung, Anwendungsprotokoll und Netzwerkdienst

Eine Benutzeranwendung ist beispielsweise ein Browser, Mailprogramm oder Administrationswerkzeug. Sie nutzt ein Anwendungsprotokoll mit festgelegten Nachrichtentypen, Feldern, Reihenfolgen und Fehlerantworten. Der Netzwerkdienst ist die auf einem System bereitgestellte Funktion, etwa eine Website, ein Postfach oder eine entfernte Kommandozeile.

Die Anwendungsschicht existiert logisch zwischen den beteiligten Anwendungsprozessen. Tatsächlich werden ihre Nachrichten über Transport, IP und Linktechnik übertragen. Router im Pfad müssen für die gewöhnliche Weiterleitung nicht verstehen, ob ein IP-Paket eine HTTP-Anfrage oder eine SSH-Sitzung enthält.

Zentrale Aufgaben der Anwendungsschicht

Anwendungsprotokolle bestimmen, wie Kommunikationspartner identifiziert und angesprochen, Fähigkeiten ausgehandelt, Anfragen gestellt, Antworten interpretiert und Fehler gemeldet werden. Sie können außerdem Authentisierung, Autorisierung, Zustandsverwaltung, Datenvalidierung und Anforderungen an Antwortzeit oder Zuverlässigkeit beschreiben.

Die Anwendungsschicht kann Dienstqualität anfordern, messen oder darauf reagieren, garantiert aber nicht allein Durchsatz, Antwortzeit und Fehlerrate des gesamten Netzes. Diese Werte hängen zusätzlich von Anwendung, Endsystemen, Transport, Routing, Warteschlangen und Übertragungsmedien ab.

• Kommunikationspartner und gewünschte Ressource benennen
• Erreichbarkeit und Fähigkeiten eines Dienstes ermitteln
• Nachrichtenablauf und erlaubte Operationen festlegen
• Zugriff kontrollieren und unberechtigte Nutzung verhindern
• Syntax, Pflichtfelder und zulässige Werte prüfen
• Anwendungsprozesse und gemeinsam genutzte Ressourcen koordinieren
• Fehler, Status und Wiederholbarkeit von Operationen beschreiben
• Antwortzeit, Verfügbarkeit und Fehlerraten überwachen

Dienst finden und Kommunikationspartner identifizieren

Ein Benutzer arbeitet meist mit Namen und Ressourcenbezeichnern statt direkt mit IP-Adressen. Eine Anwendung kann einen Hostnamen auflösen, einen Dienstport bestimmen, einen Proxy oder Load Balancer verwenden und anschließend einen Transportendpunkt kontaktieren. DNS wird auf der folgenden Lernseite detailliert behandelt.

Technische Erreichbarkeit bedeutet noch nicht, dass der gewünschte Dienst vorhanden oder fachlich nutzbar ist. Ein erreichbarer Host kann auf dem erwarteten Port keinen Listener besitzen, eine Anwendung kann einen anderen Pfad verlangen oder ein Dienst kann zwar antworten, aber wegen Wartung oder fehlender Berechtigung nicht verfügbar sein.

Authentisierung, Autorisierung und Integrität

Authentisierung prüft die behauptete Identität eines Benutzers, Dienstes oder Systems. Autorisierung entscheidet anschließend, welche Aktionen diese Identität ausführen darf. Beides ist von der Integrität zu unterscheiden, die unbemerkte Veränderungen an Daten oder Nachrichten verhindern beziehungsweise erkennbar machen soll.

Ein erfolgreicher Netzwerkzugriff ist keine Berechtigung. Anwendungen müssen Zugriffsentscheidungen für jede schützenswerte Operation serverseitig prüfen. Passwörter, Schlüssel, Token und Sitzungskennungen dürfen nicht ungeschützt übertragen oder protokolliert werden. Transportverschlüsselung wie TLS schützt den Übertragungsweg, ersetzt aber keine fachliche Rechteprüfung.

Wichtige Anwendungsprotokolle

Ein Port ist nur eine übliche Zuordnung und kein sicherer Protokollnachweis. Dienste können abweichende Ports nutzen, und auf demselben Port können je nach Aushandlung unterschiedliche Protokollvarianten vorkommen. Unverschlüsselte historische Varianten sollten nicht ohne Schutz in nicht vertrauenswürdigen Netzen eingesetzt werden.

Anfrage, Antwort, Ereignis und Datenstrom

Nicht jedes Anwendungsprotokoll folgt einem einfachen Anfrage-Antwort-Muster. Manche Protokolle übertragen kontinuierliche Datenströme, senden Ereignisse ohne vorherige Einzelanfrage oder halten eine bidirektionale Kommunikation offen. Das Nachrichtenmodell muss daher zur Fachfunktion passen.

System-Management und Application-Management

Ältere OSI-Lehrdarstellungen teilen die Anwendungsschicht teils in Standardanwendungsdienste und Netzverwaltung sowie in eine anwendungsnahe Teilschicht auf. Auch die Begriffe System-Management und Application-Management werden verwendet. Diese Unterteilungen sind keine übliche Schichtdarstellung moderner TCP/IP-Architekturen, die enthaltenen Betriebsaufgaben sind jedoch weiterhin wichtig.

Anwendungsprotokolle bei der Fehlersuche

Eine erfolgreiche Ping-Antwort beweist nur eine begrenzte IP-Erreichbarkeit. Für die Fehlersuche muss jede Stufe vom Namen bis zur Fachfunktion getrennt geprüft werden. Verschlüsselte Anwendungsdaten lassen sich im Mitschnitt ohne passende Schlüssel normalerweise nicht inhaltlich lesen; Metadaten und Endpunktprotokolle bleiben dann besonders wichtig.