Die Client-Liste eines Routers kann ein Gerät aktiver erscheinen lassen, als es ist. Du öffnest die Seite, siehst eine aktuelle DHCP-Lease und fragst dich, ob das Smartphone, NAS, die Kamera oder die smarte Steckdose gerade wieder online gegangen ist. Manchmal stimmt das. Dahinter kann auch eine normale Verlängerung der Adresszuweisung oder eine andere Netzwerkidentität stecken. Vielleicht hat der Router auch eine Änderung erst nach dem eigentlich interessanten Ereignis erfasst.
Ein aktueller Zeitstempel sagt nur begrenzt etwas aus. Frag dich statt „Steht in dieser Zeile eine aktuelle Uhrzeit?“ lieber: „Was genau hat der Router erfasst, und welche weitere Beobachtung würde meinen Schluss bestätigen?“ Das lässt sich mit ein paar risikoarmen Prüfungen klären. Sie eignen sich für normale Heimrouter genauso wie für Router in kleinen Büronetzwerken.
Wenn du erst herausfinden musst, welche Clients und Adressen vorhanden sind, fang mit Alle Geräte in deinem Netzwerk und ihre IP-Adressen finden an. Eine DHCP-Lease zeigt dir einen Ausschnitt dieses Inventars. Einen vollständigen Verlauf aller Geräteverbindungen liefert sie nicht.
Die Bedeutung eines DHCP-Eintrags
DHCP ist das Protokoll, über das ein Client üblicherweise eine IP-Adresse und Einstellungen wie das Standardgateway und die DNS-Server erhält. Die Adresszuweisung gilt für eine bestimmte Zeit, die Lease-Dauer. Bevor die Lease abläuft, kann der Client eine Verlängerung anfordern. Je nach Router-Oberfläche siehst du die Adresse, einen Client-Namen, eine MAC-Adresse, eine Start- oder Ablaufzeit und eine Restlaufzeit.
Der Eintrag gibt Auskunft über die Adresszuweisung. Er protokolliert nicht die Betriebszeit. Ein Router kann eine Lease für einen Client verlängern, der die ganze Zeit verbunden war. Eine neue Startzeit kann auftauchen, weil der Dienst auf dem Router neu gestartet wurde oder die Oberfläche Werte gerundet, aktualisiert oder den Eintrag neu aufgebaut hat. Ein ausgeschalteter Client kann noch eine gültige Lease haben. Und ein funktionierender Client kann bereits eine neu zugewiesene Adresse nutzen, während die Router-Seite noch eine Weile den alten Eintrag anzeigt.
Das ist wichtig, wenn du Problemen wie „Mein Gerät startet jede Nacht neu“ oder „Es hat die WLAN-Verbindung verloren“ nachgehst. Eine neue Lease passt zu beiden Möglichkeiten, belegt aber keine davon. Aus dem DHCP-Austausch geht normalerweise nicht hervor, ob das Betriebssystem seinen Neustart abgeschlossen hat, die WLAN-Verbindung getrennt wurde oder ein Dienst auf dem Gerät wieder nutzbar war.
Bevor du einen Zeitstempel deutest, notiere die Uhrzeit und Zeitzone, die der Router selbst anzeigt. Seine Uhr kann falsch gehen. Die Weboberfläche verwendet vielleicht Ortszeit, das Protokoll dagegen UTC. Auch eine Zeitumstellung kann eine gewöhnliche Verlängerung verdächtig aussehen lassen. Sichere zuerst die angezeigten Werte. Umrechnen und einordnen kannst du sie später.
Client-Identität als Grundlage für Verlaufsvergleiche
Verlass dich nicht allein auf den Anzeigenamen. Namen können doppelt vorkommen, abgeschnitten sein, vom Router vergeben oder vom Gerät geändert werden. Notiere für den Eintrag, den du prüfst, die IP-Adresse, die MAC-Adresse, die Client-Kennung, falls der Router sie anzeigt, und den Zeitstempel des Routers. Vergleiche diese Angaben mit einer bekannten Einstellung am Gerät oder einem Eintrag in deiner eigenen Dokumentation.
Bei Smartphones und Tablets musst du besonders aufpassen. Durch private WLAN-Adressen kann dasselbe Gerät für ein bestimmtes Netzwerk eine andere MAC-Adresse verwenden. Wenn du ein Netzwerkprofil neu anlegst oder eine Datenschutzeinstellung änderst, kann in der Router-Liste scheinbar ein zweites Gerät auftauchen. Der alte Eintrag kann eine frühere Netzwerkidentität korrekt dokumentieren, ohne die aktuelle Adresse des Clients zu zeigen.
Prüfe bei einem Gerät mit Kabelverbindung den physischen Verbindungsweg separat. Eine neue Lease verrät dir nicht, ob ein Ethernet-Kabel richtig sitzt, ein Switch-Port einen Link hat oder die Stromversorgung stabil ist. Beschreibe bei einem NAS genau, was nicht verfügbar zu sein scheint. Die Verwaltungsseite, eine Dateifreigabe, ein Backup-Dienst und die Erreichbarkeit im Netzwerk sind unterschiedliche Dinge, die du prüfen kannst. Wenn du alles als „Das NAS hat sich wieder verbunden“ zusammenfasst, gehen Details verloren, die du zum Prüfen der nächsten Vermutung brauchst.
Lease-Verlängerungen und scheinbar neue Einträge
Viele Clients verlängern ihre DHCP-Lease, bevor sie abläuft. Der genaue Zeitpunkt hängt von der Konfiguration des Clients und des Routers ab. Dabei muss es zu keiner sichtbaren Unterbrechung kommen. Wenn das Router-Protokoll zwischen einer Verlängerung und einer neuen Anfrage unterscheidet, sichere den Wortlaut und den Zeitstempel. Falls nicht, beschreibe den Befund als „aktuellen Lease-Eintrag“, ohne ihm eine Ursache zuzuschreiben.
Für einen scheinbar frischen Eintrag gibt es mehrere gewöhnliche Erklärungen:
- Der Client hat die Zuweisung derselben Adresse verlängert und war dabei durchgehend verbunden.
- Der Client hat seine Netzwerkfunktionen neu gestartet, ohne dass das ganze Gerät neu gestartet wurde.
- Der Router wurde neu gestartet oder hat seine Client-Tabelle neu aufgebaut.
- Der Client hat sich nach einer tatsächlichen Unterbrechung durch WLAN, Kabel, Stromversorgung oder Router wieder verbunden.
- Der Router zeigt für dasselbe physische Gerät jetzt eine andere Client-Identität an.
Du musst nicht allen Möglichkeiten gleichzeitig nachgehen. Entscheidend ist, dass eine Lease allein sie nicht auseinanderhalten kann. Fang mit der Prüfung an, die am wenigsten in den Betrieb eingreift und dir bei der Unterscheidung hilft. Das Ereignisprotokoll des Routers oder die Link-Anzeige eines Switch-Ports kann einen nützlichen Hinweis liefern. Das gilt auch für die am Gerät angezeigte Betriebszeit oder einen gezielt protokollierten Scan im betreffenden Subnetz.
Erzwinge keine Freigabe und erneute Anforderung der Adresse, nur um einen eindeutigeren Zeitstempel zu bekommen. Damit würdest du das Ereignis selbst auslösen, das du verstehen willst, und könntest einen funktionierenden Client unterbrechen. Den Router neu zu starten, ist als erster Schritt noch weniger hilfreich: Dabei gehen Informationen zum bisherigen Zustand verloren, und möglicherweise sind kurzzeitig alle Clients betroffen. Sichere die vorhandenen Hinweise, bevor du etwas zu reparieren versuchst.
Ein kurzes Vergleichsprotokoll
Eine Notiz nach einem festen Schema bringt mehr, als auf der Router-Seite die Restlaufzeit herunterzählen zu sehen. Halte diese Angaben mit Zeitstempel fest:
- Die aktuelle Uhrzeit und Zeitzone, die der Router anzeigt.
- Die angezeigte IP-Adresse, MAC-Adresse und den Namen des Clients sowie den Ablaufzeitpunkt oder die Restlaufzeit der Lease.
- Jede Zeile im Router-Protokoll, die ausdrücklich eine DHCP-Anfrage oder eine Verlängerung beschreibt.
- Eine unabhängige Beobachtung, etwa einen Scan im selben Subnetz, einen Eintrag in der ARP- oder Nachbartabelle, eine Link-Anzeige am Switch oder die Prüfung eines Dienstes, für die du berechtigt bist.
- Bei einem Gerät, das du verwaltest: die am Gerät angezeigte Betriebszeit oder einen Zeitstempel aus einem Anwendungsprotokoll.
Führe die unabhängige Prüfung einmal durch, notiere die Uhrzeit und vergleiche das Ergebnis mit den Router-Daten. Wenn ein Gerät auf einen Scan nicht antwortet, steht damit nicht fest, dass es ausgeschaltet ist. Ein Scan kann einen Client im Ruhezustand, einen isolierten Client oder ein Gerät in einem anderen, über Routing angebundenen Subnetz übersehen. Auch ein Eintrag in der ARP- oder Nachbartabelle kann veraltet sein. Diese Beobachtungen helfen dir einzugrenzen, welche Aussagen möglich sind. Keine davon ist ein allgemeingültiger Test dafür, ob ein Gerät im Netzwerk vorhanden ist.
Angenommen, der Router zeigt, dass ein NAS um 09:02 Uhr seine Adresszuweisung verlängert hat. Laut eigener Betriebszeitanzeige läuft das NAS seit sechs Tagen, und sein Dateidienst war währenddessen durchgehend verfügbar. Diese Beobachtungen passen zu einer normalen Verlängerung. Wenn aber der Switch-Port um 09:00 Uhr den Link verloren hat und die Betriebszeit des NAS später wieder bei null anfing, stützen sie einen anderen, begrenzten Schluss: Ungefähr zu diesem Zeitpunkt hat sich am Gerät oder seiner Verbindung etwas geändert. Um die Ursache zu bestimmen, brauchst du weiterhin zusätzliche Hinweise.
Abweichungen zwischen Netzwerkbeobachtungen
Die Tabelle des Routers stimmt nicht immer mit anderen lokalen Beobachtungen überein. Das ist normal. Der Router kann eine Lease behalten, nachdem ein Gerät das Netzwerk verlassen hat. Gleichzeitig kann ein Gerät mit statischer Konfiguration auf einen Adressscan antworten, ohne eine aktuelle DHCP-Lease zu haben. Ein Client kann außerdem für den Router sichtbar sein, von einem bestimmten Rechner aus aber nicht erreichbar sein, etwa wegen eines Gastnetzwerks, VLANs, einer Firewall-Regel oder eines gerouteten Subnetzes.
Wenn die Einträge nicht zusammenpassen, prüfe die Netzwerkgrenzen, bevor du Einstellungen änderst. Kontrolliere, aus welchem Subnetz die Beobachtung stammt und ob die IP-Adresse noch mit der im Router-Eintrag übereinstimmt. Prüfe auch die Client-Identität. Lege keine DHCP-Reservierung für eine veraltete MAC-Adresse an, nur weil du sie in einem alten Eintrag gefunden hast. Eine Reservierung kann die künftige Adressvergabe für die Client-Identität vorhersehbar machen, die diese Adresse tatsächlich anfordert. Sie kann weder die WLAN-Abdeckung verbessern noch einen Kabelfehler beheben oder belegen, dass ein Dienst korrekt funktioniert.
Wenn du dasselbe Netzwerk über längere Zeit beobachtest, halte frühere Beobachtungen getrennt von der Router-Konfiguration fest. DeviceShelf ist eine mögliche lokale Übersicht, mit der du antwortende Geräte und beobachtete Adressen erfassen kannst. Vergleiche diese Angaben mit den Router-Einträgen und den Geräteeinstellungen. Eine beobachtete Adresse, ein Name oder eine aktuelle Lease belegt für sich allein nie, wem ein Gerät gehört, welches Gerät es ist oder ob es gerade verfügbar ist.
Eine konkrete nächste Prüfung
Schließe den ersten Durchgang mit einer Aussage ab, die von den gesammelten Hinweisen gedeckt ist. „Um 09:05 Uhr laut Router zeigte der Router eine Lease-Verlängerung für diese MAC-Adresse an; die Betriebszeit auf dem Gerät wurde nicht zurückgesetzt“ ist hilfreich. „Das Gerät wurde um 09:05 Uhr neu gestartet“ behauptet mehr, als diese Fakten belegen. Wenn du deine Aussage auf das Belegte beschränkst, fällt auch die Wahl der nächsten Prüfung leichter.
Wähle einen nächsten Schritt. Du könntest nach der nächsten Verlängerung das DHCP-Protokoll des Routers prüfen oder den Link am Switch im vermuteten Zeitfenster beobachten. Weitere Möglichkeiten sind ein Vergleich der Betriebszeit auf dem Gerät oder eine separate Prüfung des betroffenen Dienstes neben der grundlegenden Erreichbarkeit im Netzwerk. Halte nach dieser Prüfung dieselben Kennungen und Zeitstempel fest. Wenn du einen DHCP-Adresseintrag und eine erneute Verbindung auseinanderhältst, vermeidest du bei der Fehlersuche vorschnelle Schlüsse, die deine Beobachtungen nicht hergeben.