Warum alles richtig aussieht, aber Traffic trotzdem falsch läuft
25.06.2026 5 Min. Lesezeit
Die meisten Netzwerkprobleme lassen sich nicht durch einzelne falsche Konfigurationszeilen erklären, sondern durch eine falsche mentale Modellbildung. Ein besonders hartnäckiges Muster ist dabei die unbewusste Vermischung von zwei Ebenen, die strikt getrennt betrachtet werden müssen: Control Plane und Data Plane. Erst wenn diese Trennung sauber verstanden wird, lösen sich viele scheinbar widersprüchliche Effekte im Routing auf.
Die Control Plane umfasst alle Mechanismen, die Entscheidungen treffen. Hierzu gehören Routingprotokolle wie OSPF und BGP, Multicast-Protokolle wie PIM, sowie auch Policies und Filterregeln. In dieser Ebene wird bestimmt, welche Routen existieren, welche bevorzugt werden und wie das Netzwerk logisch aufgebaut ist. Sie erzeugt ein konsistentes Bild darüber, wie Pakete grundsätzlich fließen sollten. Dieses Bild ist jedoch zunächst rein theoretisch. Es beschreibt die beabsichtigte Weiterleitung, nicht die tatsächliche.
Die Data Plane hingegen ist die Ebene, in der Pakete real verarbeitet werden. Sie basiert auf der Forwarding Information Base und wird in der Regel in spezialisierter Hardware umgesetzt. Hier entscheidet sich, ob ein Paket tatsächlich an das vorgesehene Ziel weitergeleitet wird. Die Data Plane ist dabei strikt deterministisch und kennt keine der komplexen logischen Zusammenhänge der Control Plane. Sie folgt ausschließlich der konkreten Weiterleitungslogik, die ihr übergeben wurde.
Zwischen beiden Ebenen besteht ein klar definierter Übergang. Die Control Plane berechnet Entscheidungen und übergibt das Ergebnis an die Data Plane. Diese übernimmt die Information und setzt sie in konkrete Weiterleitungsregeln um. Entscheidend ist dabei, dass diese Übergabe nicht automatisch garantiert ist. Eine Route kann in der Control Plane vollständig vorhanden und korrekt bewertet sein, ohne jemals in der Data Plane anzukommen.
Viele typische Fehler lassen sich genau auf diese Stelle zurückführen. Ein klassisches Beispiel ist eine Route, die im Routing Table als aktiv erscheint, während der Datenverkehr dennoch nicht den erwarteten Pfad nimmt. Aus Sicht der Control Plane ist alles korrekt entschieden worden. Die Data Plane hingegen hat diese Entscheidung nicht umgesetzt, etwa weil die Next-Hop-Auflösung unvollständig ist oder eine Abhängigkeit nicht erfüllt wurde. Das Ergebnis ist ein Zustand, in dem beide Ebenen unterschiedliche Aussagen treffen.
Ein besonders häufiges Problem entsteht im Zusammenhang mit der Next-Hop-Auflösung. Die Control Plane bewertet Routen auf Basis ihrer Attribute, berücksichtigt jedoch gleichzeitig, dass ein Next-Hop erreichbar sein muss. Die Data Plane hingegen benötigt eine konkrete Auflösung auf ein Interface oder einen direkt erreichbaren Adressraum. Wenn diese Auflösung scheitert, bleibt die Route logisch vorhanden, kann aber nicht verwendet werden. Dadurch entsteht der Eindruck, dass Routing „nicht funktioniert“, obwohl die Entscheidung selbst korrekt ist.
Ein ähnliches Verhalten zeigt sich bei der Verwendung von Routing Policies. Eine Policy kann eine Route annehmen und verändern, sodass sie in der Control Plane sichtbar und sogar bevorzugt wird. Wenn die Änderungen jedoch nicht zu einer validen Forwarding-Information führen, etwa durch eine ungültige Next-Hop-Referenz, scheitert die Umsetzung in der Data Plane. Auch hier ist die logische Entscheidung korrekt, die praktische Anwendung jedoch nicht möglich.
Besonders deutlich wird die Trennung der Ebenen in BGP. Eine Session kann vollständig aufgebaut sein, und Routen können empfangen und bewertet werden, ohne dass daraus ein funktionierender Datenverkehr entsteht. Die Ursache liegt häufig darin, dass die Control Plane erfolgreich arbeitet, während die Data Plane aufgrund fehlender Informationen keine gültigen Einträge erzeugen kann. Dieses Verhalten wirkt widersprüchlich, ist aber eine direkte Folge der Architektur.
Multicast verdeutlicht diesen Zusammenhang noch stärker. Der Aufbau von Verteilbäumen erfolgt in der Control Plane durch Protokolle wie PIM. Die tatsächliche Weiterleitung basiert jedoch auf Reverse Path Forwarding und damit auf der Unicast-Routeninformation in der Data Plane. Wenn diese Information nicht konsistent ist, wird der Multicast-Verkehr verworfen, obwohl der Baum logisch korrekt aufgebaut wurde. Der Fehler liegt nicht im Multicast selbst, sondern in der Diskrepanz zwischen den Ebenen.
Ein zentrales Merkmal dieser Trennung ist, dass die Control Plane oft sehr tolerant erscheint, während die Data Plane strikt arbeitet. In der Control Plane können Routen gespeichert, verglichen und bewertet werden, auch wenn sie nicht unmittelbar nutzbar sind. Die Data Plane akzeptiert nur vollständige und umsetzbare Informationen. Diese unterschiedliche Toleranz führt dazu, dass Probleme oft erst in der Weiterleitung sichtbar werden, obwohl ihre Ursache bereits vorher im Entscheidungsprozess liegt.
Die praktische Konsequenz ist, dass eine Analyse von Routingproblemen immer beide Ebenen berücksichtigen muss. Es reicht nicht aus zu prüfen, ob eine Route existiert oder als aktiv markiert ist. Ebenso wichtig ist die Frage, ob diese Route tatsächlich in der Data Plane angekommen ist. Erst wenn beide Ebenen konsistent sind, kann von einem funktionierenden Routing ausgegangen werden.
Ein häufiger Fehler in der Praxis besteht darin, ausschließlich in der Control Plane zu debuggen. Routingtabellen werden analysiert, Protokollzustände überprüft und Policies angesehen, während die tatsächliche Weiterleitung außer Acht gelassen wird. In vielen Fällen liegt die Lösung jedoch genau dort, insbesondere bei Problemen, die auf unvollständige Auflösung oder Hardwareeinschränkungen zurückzuführen sind.
Umgekehrt kann auch die Data Plane isoliert betrachtet werden, etwa indem nur der Paketfluss analysiert wird. Ohne Kenntnis der zugrunde liegenden Entscheidungen bleibt jedoch unklar, warum ein bestimmter Pfad gewählt wurde oder warum ein alternativer Pfad nicht genutzt wird. Beide Perspektiven sind notwendig, um ein vollständiges Bild zu erhalten.
Die Trennung zwischen Control Plane und Data Plane ist kein akademisches Konzept, sondern ein fundamentales Prinzip moderner Netzwerke. Sie ermöglicht Skalierbarkeit, Flexibilität und klare Verantwortlichkeiten zwischen verschiedenen Systemkomponenten. Gleichzeitig führt sie dazu, dass Netzwerkverhalten nicht immer intuitiv erscheint. Erst wenn diese Trennung konsequent im eigenen Denken verankert ist, lassen sich komplexe Situationen zuverlässig erklären.
Das eigentliche Problem liegt selten darin, dass eine der beiden Ebenen falsch arbeitet. In den meisten Fällen funktionieren beide exakt wie vorgesehen. Die Schwierigkeit entsteht dort, wo ihre Ergebnisse nicht übereinstimmen. Wer diese Diskrepanz erkennt und systematisch analysiert, gewinnt einen deutlich besseren Zugang zu komplexen Routing-Problemen und löst sie nicht durch Versuch und Irrtum, sondern durch Verständnis.