Was zeigt Traceroute an? So lesen Sie die Ergebnisse

Traceroute wirkt eindeutiger, als es tatsächlich ist. Die Ausgabe besteht aus ordentlich nummerierten Zeilen, doch diese zeigen Beobachtungen einer Reihe von Prüfpaketen, keine perfekte Karte des Internets.

Traceroute zeigt antwortende Hops auf Layer 3 zwischen Quelle und Ziel sowie gemessene Hin- und Rücklaufzeiten von der Quelle zu jedem Hop. Es garantiert nicht, dass jeder Router sichtbar ist, misst nicht die Verzögerung zwischen zwei benachbarten Hops und weist auch keinen Paketverlust nach. Eine leere Antwort kann einfach bedeuten, dass ein Gerät sich dafür entschieden hat, die Abfrage nicht zu beantworten.

Was Traceroute tatsächlich zeigt

Klassisches Traceroute macht den Pfad Antwort für Antwort sichtbar. Für jeden sichtbaren Hop kann es Hop-Nummer, IP-Adresse, optionalen Hostnamen und eine oder mehrere gemessene Hin- und Rücklaufzeiten ausgeben. Das IETF-Traceroute-Messmodell nennt diese als übliche Ergebnisfelder.

Entscheidend ist das Wort antwortend. Eine Zeile stellt eine Schnittstelle dar, die auf eine Anfrage geantwortet hat, nicht unbedingt einen vollständigen physischen Router und schon gar nicht jedes Gerät, das den Datenverkehr verarbeitet hat. Zwei Adressen mit derselben Hop-Nummer können alternative Responder auf einem Pfad mit Lastausgleich sein. Eine fehlende Zeile leitet Pakete möglicherweise immer noch einwandfrei weiter.

Traceroute lässt sich daher am besten als Pfadbeobachtung von einer Quelle zu einem bestimmten Zeitpunkt und unter Verwendung einer Sondenmethode lesen. Führen Sie es später von einem VPN oder einem anderen Netzwerk aus, und das Ergebnis kann sich ändern. Das ist normales Routing-Verhalten und nicht automatisch ein Fehler.

Der kleine TTL-Trick hinter jedem Hop

Der Mechanismus ist clever. In IPv4 trägt jedes weitergeleitete Paket einen Time-to-Live-Wert, der normalerweise als Hop-Limit behandelt wird. Ein Router reduziert es vor der Weiterleitung. Wenn der Wert abläuft, kann dieser Router eine ICMP-Zeitüberschreitungsmeldung zurückgeben, anstatt das Paket weiterzuleiten.

Traceroute sendet zunächst ein oder mehrere Prüfpakete mit TTL 1. Sie laufen am ersten gerouteten Hop ab. Die nächste Gruppe nutzt TTL 2 und erreicht einen Hop weiter. Das geht so lange, bis das Ziel antwortet oder das eingestellte Maximum erreicht ist. IPv6 nutzt ein Feld mit dem wörtlichen Namen Hop Limit, doch das Prinzip der Pfaderkennung ist ähnlich. Die Protokolldetails stehen in RFC 5388 und in der IPv6-Spezifikation.

Die Zielantwort hängt von der Implementierung ab. Eine herkömmliche UDP-basierte Ablaufverfolgung endet häufig, wenn das Ziel meldet, dass der ausgewählte Port nicht erreichbar ist. Windows tracert verwendet ICMP-Echo-Prüfungen und wird beendet, wenn das Ziel antwortet. Es gibt auch TCP-basierte Varianten. Aus diesem Grund können zwei Traceroute-Programme dieselbe grundlegende Reise unternehmen und dabei unterschiedliche Arten von Sonden senden.

So lesen Sie eine Ausgabezeile

Stellen Sie sich eine übliche Zeile im Windows-Stil mit einer Hop-Nummer, drei Zeitwerten und einer Adresse vor. Die Spalten sind einfach, wenn man ihnen nicht mehr abverlangt, mehr zu tun, als sie können.

Die drei mittleren Werte verdienen besondere Aufmerksamkeit: Es sind drei getrennte Versuche. Microsoft beschreibt sie in seiner offiziellen tracert-Dokumentation als Messungen von Ihrem Gerät zum jeweiligen Hop und zurück. Es sind weder drei Phasen einer einzelnen Paketreise noch eine fertige Zusammenfassung aus Minimum, Mittelwert und Maximum.

Ein RTT umfasst auch den Antwortpfad und die Verarbeitungszeit beim antwortenden Gerät. Das Internet-Routing kann asymmetrisch sein, sodass die Antwort möglicherweise auf einem anderen Weg zurückkommt. RFC 9198 erklärt, warum solche ICMP-Zeitmessungen keine reproduzierbare Schätzung der Anwendungsverzögerung liefern. Verstehen Sie den Wert als Ende-zu-Ende-Messung zwischen Quelle und antwortendem Gerät, nicht als Stoppuhr an einem einzelnen Kabel zwischen zwei Routern.

Sternchen bedeuten Schweigen, kein Urteil

Ein Sternchen bedeutet, dass die Sonde vor Ablauf des Zeitlimits keine Antwort erhalten hat. Das ist alles, was es an sich bedeutet. Der Router kann diesen Sondentyp filtern, die Rate von ICMP-Antworten begrenzen, Antworten auf der Steuerungsebene herabsetzen oder eine Antwort senden, die auf dem Rückweg verloren geht.

Ein Sternchen unter zwei gemessenen Zeiten bedeutet, dass eine der drei Abfragen unbeantwortet blieb. Drei Sternchen oder „Zeitüberschreitung der Anfrage“ bedeuten, dass keine der Abfragen dieser Zeile rechtzeitig beantwortet wurde. Wenn spätere Hops – einschließlich des Ziels – immer noch antworten, wird die Ablaufverfolgung über diese TTL hinaus fortgesetzt, sodass die stille Zeile keinen Weiterleitungsfehler beweist. Multipath-Routing bedeutet, dass diese späteren Sonden möglicherweise nicht genau derselben Responder-Sequenz gefolgt sind. Das eigene Beispiel von Microsoft zeigt Zeilen mit Zeitüberschreitung, gefolgt von einer erfolgreichen Zielantwort.

Dies ist eine häufige Fehldiagnose beim Traceroute-Lesen: Jeder stille Hop wird als Paketverlust behandelt. Das Weiterleiten von Datenverkehr und das Beantworten von Diagnoseanfragen sind unterschiedliche Aufgaben. Ein Router kann das erste ausführen, während er das zweite ablehnt.

Um tatsächliche Paketverluste zu untersuchen, verwenden Sie wiederholte Messungen. Unter Windows kombiniert PathPing die Ermittlung des Pfads mit einer längeren Reihe von Testpaketen und berechnet Statistiken. Auch dann sollten Sie Verluste bis zu einem Zwischenrouter mit den Ergebnissen späterer Hops vergleichen, bevor Sie schließen, dass der weitergeleitete Datenverkehr betroffen ist.

Wie man nicht dem falschen Router die Schuld gibt

Die nützliche Frage lautet nicht: „Welche Zeile hat die größte Zahl?“ Es lautet: „Wo beginnt eine Veränderung und setzt sie sich bis zum Ziel fort?“

Entfernung, Überlastung, WLAN, VPN-Routing, Warteschlangen und Antwortverhalten können RTT verändern. Ein einzelner hoher Messwert ist ein Hinweis, kein Schuldnachweis. Suchen Sie nach einem wiederholten Muster, das bis zu späteren Hops anhält und zum tatsächlichen Problem passt.

Traceroute misst auch keine Download- oder Upload-Kapazität. Lautet das Problem „Die Verbindung fühlt sich überall langsam an“, prüft ein Internet-Speedtest Durchsatz, Latenz und Jitter direkter. Die beiden Tools beantworten unterschiedliche Fragen.

Was Traceroute nicht zuverlässig anzeigen kann

Traceroute liefert einen schnellen Pfad-Snapshot. Wenn man es gut liest, muss man wissen, was dieser Schnappschuss auslässt.

• Es wird möglicherweise nicht jeder Layer-3-Hop angezeigt. Einige Geräte antworten nie auf die Abfragen.
• Es zeigt normalerweise keine transparenten Layer-2-Switches. Diese leiten Frames weiter, ohne als IP-Hops zu erscheinen.
• Es beobachtet den Vorwärts-Probe-Pfad, während jede Antwort einen anderen Rückpfad nehmen kann.
• Es kann eine von mehreren Routen mit gleichen Kosten und nicht jeden möglichen Pfad abtasten.
• Es werden keine stabilen Paketverlustprozentsätze aus einer Handvoll Tests ermittelt.
• Es kann nicht den Weg nachweisen, den jeder Anwendungsfluss nehmen wird, insbesondere wenn sich die Prüfprotokolle unterscheiden.
• Eine IP-Adresse oder ein Hostname ist keine genaue Angabe des physischen Standorts.

Nutzen Sie den ergänzenden Test, der zur offenen Frage passt. Antwortet eine Website, ein bestimmter Dienst aber nicht, kann ein eng begrenzter Port-Check ausgewählte öffentliche TCP-Ports vom ClockTools-Edge-Standort prüfen. Sorgen private Bereiche oder CIDR-Grenzen für Unklarheiten im Trace, hilft der Rechner für IP-Subnetze beim Trennen von Netzwerk- und Hostanteil.

Tracert, Traceroute und Arten von Prüfpaketen

Windows benennt den Befehl tracert. macOS, Linux, BSD und viele Netzwerkgeräte werden häufig verwendet traceroute. Die Ausgabe fühlt sich auf allen Plattformen bekannt an, die Standard-Probes können jedoch unterschiedlich sein.

Windows tracert sendet ICMP-Echo-Anfragen mit steigenden TTL-Werten. Herkömmliche Unix-ähnliche Traceroute beginnt üblicherweise mit UDP, obwohl Implementierungen und Optionen auch ICMP oder TCP verwenden können. Vermeiden Sie die pauschale Regel „Traceroute verwendet immer UDP“ oder „Traceroute verwendet immer ICMP“. Das Programm und die gewählte Methode entscheiden.

Für eine schnelle Windows-Ablaufverfolgung ohne Hostnamen-Suche verwenden Sie tracert /d example.com. Beginnen Sie auf einem typischen macOS- oder Linux-System mit traceroute example.com und lesen Sie das Handbuch dieses Systems für Protokoll- und Timeout-Optionen. Die /d Das Flag kann eine Windows-Ablaufverfolgung beschleunigen, indem die Namensauflösung in umgekehrter Reihenfolge übersprungen wird. Die IP-Adressen in der Ausgabe werden jedoch nicht ausgeblendet.

Der Begriff tracepath bezieht sich normalerweise auf ein verwandtes Unix-ähnliches Dienstprogramm mit einer anderen Schnittstelle und einem anderen Berechtigungsmodell. MTR und WinMTR wiederholen Sonden im Laufe der Zeit. PathPing fügt wiederholte Statistiken hinzu, nachdem die Route ermittelt wurde. Wählen Sie eine davon aus, je nachdem, ob Sie einen schnellen Pfad-Schnappschuss oder eine dauerhafte Messung benötigen.

Die Rolle von ClockTools

Eine normale Browserseite kann nicht dieselben rohen ICMP-, UDP- oder TCP-Prüfpakete senden wie ein lokaler Terminalbefehl. Browser-Sandboxen und die Cloudflare-Worker-Laufzeit von ClockTools stellen die nötige Steuerung der Paket-TTL nicht bereit. ClockTools erfindet deshalb keine Hop-Tabelle.

Die Traceroute-Diagnose von ClockTools bleibt innerhalb dieser Grenze. HTTP-Protokoll und Client-RTT beschreiben den Abschnitt vom Browser zu ClockTools. Eine separate öffentliche HTTP- oder HTTPS-Anfrage läuft vom ClockTools-Edge-Standort zum Ziel und meldet Erreichbarkeit, Status, Antwortzeit, Inhaltstyp und Weiterleitungen. Das hilft bei einer schnellen Websiteprüfung von außen, ist aber nicht die lokale Hop-Tabelle Ihres Laptops.

Im Screenshot kennzeichnet Markierung 1 den Hinweis auf die Einschränkung und Markierung 2 die Zielantwortdaten. Das Beispiel verwendet example.com, eine öffentliche Dokumentationsdomain und keinen privaten Host, und stellt den anfragespezifischen Edge-Code verallgemeinert dar.

Verwenden Sie eine öffentliche URL, deren Eigentümer Sie sind, die Sie verwalten oder die Sie zum Testen berechtigt haben. Wenn das Ziel vom Rand aus schnell reagiert, sich aber auf Ihrem Gerät langsam anfühlt, lohnt es sich, das lokale WLAN, einen ISP-Pfad, einen VPN, die Geräteauslastung oder das Browserverhalten zu überprüfen – aber die beiden Tests stammen auch aus unterschiedlichen Blickwinkeln und können unterschiedliche Routen verwenden. Wenn es sowohl am Edge als auch lokal fehlschlägt, werden DNS, Hosting, Firewall oder Zielverfügbarkeit plausibler.

Eine praktische Fehlerbehebungssequenz

Beginnen Sie mit dem Symptom, nicht mit der Werkzeugschublade.

• Ist die Website von außerhalb Ihrer Verbindung erreichbar? Führen Sie die Routendiagnose von ClockTools aus und notieren Sie Status, Weiterleitungen und Antwortzeit.
• Ist Ihre gesamte Verbindung langsam? Vergleichen Sie Durchsatz, Ping und Jitter mit einem Internet-Geschwindigkeitstest.
• Benötigen Sie die lokale Hop-by-Hop-Ansicht? Führen Sie tracert oder traceroute auf dem betroffenen Gerät und im betroffenen Netzwerk aus.
• Fällt ein Dienst aus, während der Host antwortet? Überprüfen Sie nur den relevanten, autorisierten öffentlichen TCP-Port vom Edge ClockTools.
• Ist einmal eine hohe RTT oder ein Timeout aufgetreten? Wiederholen Sie den Trace. Anhaltendes Verhalten in nachfolgenden Hops ist wichtiger als eine auffällige Einzelzeile.
• Vergleichen Sie öffentliche und private Adressen? Was ist meine IP? identifiziert Ihre sichtbare öffentliche Adresse, während der Subnetzrechner bei privaten Netzwerkbereichen hilft.

Diese Reihenfolge verhindert einen häufigen Fehler: die Verwendung einer einzigen Diagnose zur Beantwortung jeder Netzwerkfrage. Erreichbarkeit, Routenbeobachtung, anhaltender Verlust, Durchsatz und Dienstverfügbarkeit hängen zusammen, sind jedoch nicht austauschbar.

Teilen Sie Traceroute-Ergebnisse sicher

Eine Ablaufverfolgung kann öffentliche und private IP-Adressen, interne Hostnamen, Anbieternamen, Zeitmuster und Teile des Netzwerkdesigns offenlegen. Entfernen Sie Details, die der Empfänger nicht benötigt, bevor Sie die Ausgabe in einem Forum, Ticket, Artikel oder Screenshot veröffentlichen.

Entfernen Sie interne Gerätenamen, in Hostnamen eingebettete Nutzernamen, private Adressen bei irrelevanter Topologie und öffentliche Adressen, die nicht mit dem Beitrag verknüpft werden sollen. Bewahren Sie genug Struktur, damit das Problem verständlich bleibt: Hop-Nummern, auftretende Timeouts und typische Zeitwerte reichen oft aus.

Nehmen Sie nicht an, dass tracert /d einen Trace anonymisiert. Es überspringt die Namensauflösung, zeigt aber weiterhin antwortende IP-Adressen. Eine IP-Geolokalisierung ist außerdem kein genauer physischer Standort, kann aber einen Anbieter oder eine grobe Region erkennen lassen.

Eine gute Traceroute-Auswertung bleibt zurückhaltend. Sie zeigt, welche Prüfpakete Antworten erhielten, wie lange Hin- und Rückweg dauerten und wo ein Muster beginnen könnte. Wirklich hilfreich wird sie zusammen mit wiederholten Tests und dem Problem, das Sie erklären möchten.