Routing für alle

Router binden Teilnetze in ein größeres Netzwerk ein. Exemplarisches Beispiel – natürlich das Internet. Solange man zu Hause lediglich einen Internet-Zugang für einen einzigen PC benötigt, ist ein Router normalerweise nicht notwendig. Es reicht in diesem Falle, sich mit dem heimischen PC beim Zugangsrechner des Internet-Providers (ISP) einzuwählen.

Soll hingegen das heimische Netzwerk oder ein kleines Firmen-LAN angebunden werden, ist ein Router vonnöten. DSL-Router sind mittlerweile für ein paar hundert Euro erhältlich, aber immer noch wesentlich teurer als ein gebrauchter 486er, den man eventuell noch im Keller stehen hat. Zudem sind diese "Hardware-Router" nicht immer so flexibel wie ihre auf Software basierenden Kollegen, die sich leicht erweitern und den persönlichen Ansprüchen gemäß konfigurieren lassen. Hier kommt fli4l ins Spiel: Ein komplett abgespecktes Linux-System, welches sich mit einer Diskette begnügt.

Einsatzmöglichkeiten

fli4l [1] kann als Ethernet-Ethernet-Router, als ISDN-Einwahlrechner oder für den DSL-Zugang zum Internet verwendet werden. Über ASCII-Dateien wird die jeweilige Konfiguration maßgeschneidert, bevor man die Boot-Diskette erzeugt, von der aus der Router betrieben wird. Obwohl auf einer Diskette lediglich 1.44 MB Daten Platz finden, muss man keine Kompromisse eingehen. Über 40 Netzwerkkarten-Familien und mehr als 30 ISDN-Karten unterstützt fli4l; auf die Diskette werden aber einfach nur die Daten und Treiber kopiert, die zum Betrieb nötig sind. Die einfache Konfiguration über ASCII-Dateien ermöglicht es auch Nicht-Linux-Anwendern, den fli4l-Router zu konfigurieren und zum Laufen zu bewegen.

Wie alles begann…

Das fli4l-Projekt, an dem mittlerweile ein gutes Dutzend Entwickler arbeitet, begann im Frühjahr 2000. Es sollte ein leiser, auf Linux basierender Router her, mit dem die ganze Familie im Internet surfen konnte, und zwar über ISDN und Internet-By-Call. Da schon damals die Internet-Provider zu unterschiedlichen Zeiten unterschiedliche Tarife anboten, stand eine Least-Cost-Routing-Funktion (LCR) auf dem Wunschzettel, um die Online-Kosten möglichst gering zu halten.

Festplatten sind normalerweise recht laut – gerade Exemplare älteren Datums. Deshalb sollte der Router lediglich von einer Diskette booten und anschließend in einer RAM-Disk laufen. Mithilfe des Boot-Disk-Howtos [2] war es relativ einfach, eine Boot-Diskette zu erstellen. Aber für Routing braucht man mehr als nur einen Kernel. Nach viel Probiererei kam heraus, dass ein auf der g basierendes System soviel Platz auf der Diskette benötigt, dass zusätzlich zum Kernel nicht einmal das ISDN-Subsystem darauf passt.

Daher baut fli4l auf der alten libc5 auf, die den Ansprüchen eines Routers durchaus genügt. Nach der Portierung der ISDN4Linux-Software lief dann zwar der Router, aber auch nicht viel mehr. Auf Unix-typische Kommandos wie ls usw. mussten seine Nutzer komplett verzichten. Die Diskette galt es, in mühseliger Kleinarbeit unter einem lauffähigen Linux-System zu erstellen. Durch einige Optimierungsarbeiten gelang es jedoch im Laufe der Zeit, soviel Platz auf der Diskette "freizuschaufeln", dass einige zusätzliche Anwendungen – z. B. ein Druckerserver – auf dem Router installiert werden konnten. Mittlerweile erzeugt man die Diskette durch Aufrufen eines Batch-Skripts (vgl. Kasten 2), ohne sich um Einzelheiten zu kümmern.

Vom Ethernet-Ethernet- zum DSL-Router

Ende letzten Jahres wurde die Version 2.0 der fli4l-Software nochmals komplett umgekrempelt und die einzelnen Softwareanteile stark modularisiert. So braucht der Anwender nur noch diejenigen Module herunterzuladen, die er auch wirklich benötigt.

In seiner einfachsten Form ist fli4l lediglich ein Ethernet-zu-Ethernet-Router, der zwei oder mehr LANs, z. B. von zwei Abteilungen einer Firma, verbindet. Dafür installiert der Systemadministrator lediglich das fli4l-Basis-Paket. Dass diese Einfachst-Anwendung durchaus auch für Internet-Anbindungen zum Tragen kommt, zeigen die in letzter Zeit vermehrt angebotenen Kabelmodem-Anschlüsse. Außerdem gibt es einige DSL-Varianten, wo der ISP bereits einen Router inklusive einer IP-Adresse zur Verfügung stellt. Auch hier spielt fli4l seine Stärken beim Anschluss des LANs aus, da es mittels DHCP-Client und IP-Masquerading ein komplettes Netz über eine einzige offizielle IP-Adresse ans Internet anbinden kann.

Die nächstgrößere Variante ist fli4l ("Floppy ISDN for Linux") als ISDN-Router. Durch Definition sogenannter "Circuits" kann der fli4l-User mehrere Provider nutzen und so immer die günstigsten Tarife wählen. Dazu erstellt er eine einfache Tabelle, zu welcher Zeit welcher Provider angewählt werden soll. Das Least Cost Routing beschränkt sich nicht nur auf die Angabe von Uhrzeiten, es können auch spezielle Circuits für bestimmte Wochentage – zum Beispiel Wochenende – eingestellt werden. Feiertage berücksichtigt fli4l natürlich auch: Sie werden wie Sonntage behandelt.

Mittlerweile drängen Internet-Anbindungen über DSL die gute, alte ISDN-Karte immer mehr ins Abseits. Deshalb beherrscht fli4l seit über einem Jahr auch das DSL-Routing. Hier spricht fli4l nicht nur das in Deutschland übliche PPPoE-Protokoll ("Point to Point Protocol over Ethernet"), sondern auch das in Österreich und den Benelux-Ländern verbreitete PPTP ("Point-to-Point Tunneling Protocol") [3].

Interessant ist dabei, dass sich alle drei Anwendungen, nämlich Ethernet-, ISDN- und DSL-Routing kombinieren lassen. So können zum Beispiel zwei oder mehr LANs über DSL ans Internet angebunden werden, wobei die ISDN-Karte dazu dient, einem weiteren LAN über ISDN den Weg ins Netz der Netze zu ebnen. Sollte DSL einmal ausfallen, schwenkt man die Internet-Verbindung auf einfache Art und Weise von DSL auf ISDN um. Und schon geht der Surfspaß unter Berücksichtigung der LCR-Circuits weiter.

Mehr als ein Router

Aufgrund des breiten Interesses an fli4l fanden sich im Laufe der Zeit einige engagierte Entwickler zusammen, um die Möglichkeiten des "on(e) disk routers" im Team weiter auszureizen. So entwickelte Carsten Cerny den Assistenten fliwizNG für Windows-Anwender (Abbildung 1), mit dem die Konfiguration über die grafische Oberfläche sehr einfach vonstatten geht. Linux-User dürften sich von den Konfigurationsdateien in Textform weniger abschrecken lassen.

Abbildung 1: Windows-Anwender konfigurieren fli4l über den Assistenten fliwizNG

Ein Router mag in erster Linie dazu dienen, Pakete von einem Netz in ein anderes zu schaufeln. Doch mancher Einwahlversuch, etwa aufgrund regelmäßiger DNS-Anfragen nach Arbeitsgruppe.meine-domain von Windows-Clients, ist vollkommen unnötig. Aus diesem Grund kommt standardmäßig ein Mini-DNS-Server zum Einsatz, der Namensanfragen auflöst und die Ergebnisse in einem Cache speichert.

Das Herz des Routers ist jedoch imond – ein Daemon, der fli4ls Routing-Funktionen kontrolliert. Er kümmert sich ums LCR, sammelt Informationen zum Beispiel über das Datenaufkommen, misst den Datendurchsatz auf den einzelnen Interfaces und kann im Bedarfsfall den aktuell gültigen Default-Route-Circuit (im allgemeinen die Internet-Verbindung) auswechseln, wenn beispielsweise DSL ausfallen sollte.

Abbildung 2: Die fli4l-Clients gtk-imonc …

Abbildung 3: … und trayimonc für Linux …

Abbildung 4: … sowie imonc für Windows

Eine Client-Server-Schnittstelle bietet die Möglichkeit, vom Desktop-PC aus das Monitoring und Controlling des Routers zu übernehmen. Dafür gibt es diverse Clients ("Interface Monitor Clients", imonc), sowohl für Linux (z. B. [4, 6, 7]) als auch für Windows [5]. Sie zeigen die aktuellen Verbindungen und bereiten die Statistik-Daten auf. Die im Basispaket mitgelieferten Programme gtk-imonc für Linux oder imonc für Windows können den Daemon imond veranlassen, auf Benutzerklick den aktuellen Circuit auf einen anderen Anschluss umzuschwenken. Weitere Schmankerl, wie z. B. die Anzeige der CPU-Auslastung, die Möglichkeit zum Abgleich der Uhrzeit, die sich fli4l von einem Time-Server aus dem Internet holen kann, und die Protokollierung eingehender Telefonanrufe bei fli4l-Routern mit ISDN-Karte, haben die beiden von Stefan Strigler bzw. Nico Wallmeier geschriebenen Tools ebenfalls eingebaut.

Selbst ein Software-Update ist mit diesen Clients möglich. So kann über die Netzwerkverbindung eine neue Konfiguration oder eine neue fli4l-Version eingespielt werden, die der Router dann auf der eingelegten Diskette speichert.

Nützliche Zusätze

fli4l-Module, die über eine Standard-Anwendung hinausgehen und deshalb für viele Einsatzzwecke nicht notwendig sind, lädt man als separate Pakete von http://www.fli4l.de/german/download.htm oder http://www.fli4l.de/german/developer.htm herunter. Zum Teil handelt es sich dabei um kleinere Tools, zum Teil um weitere Serverdienste.

So kann der im Paket dhcp.tar.gz enthaltene DHCP-Server den Clients im LAN IP-Adressen zuteilen und auch nötige Infos zu Standard-Gateway und DNS-Server übertragen. Samba lässt sich als Drucker-Server in Kombination mit dem Spooler lpd einsetzen. Das Paket samba_lpd.tar.gz enthält eine ältere Samba-Version, die durchaus noch auf die Diskette passt. Eine Alternative ist lpdsrv.tar.gz, ein Drucker-Server, der ohne Warteschlange auskommt und daher vom Hauptspeicherbedarf (alles läuft ja in der RAM-Disk) bescheidener ist. Mit integrierter ISDN-Karte kann fli4l auch als Anrufbeantworter dienen. Das Paket vbox.tar.gz ermöglicht dabei die Aufzeichnung der Anrufe. Abgerufen werden sie von den Clients aus – über ein vbox-Client-Programm, wie es vielen Linux-Distributionen beiliegt.

Wer sein LAN mit einem Web-Proxy ausstatten will, kann dies mit squid.tar.gz auf dem Router tun – allerdings nur, wenn fli4l auf Festplatte installiert ist. Dies ist mit dem zusätzlichen Installationsmodul hd.tar.gz möglich. Ist die Platte zu laut, residiert fli4l alternativ auch auf einer Compact-Flash-Karte, wie man sie von Digitalkameras kennt. In diesem Fall benötigen Sie allerdings einen Compact-Flash-Adapter zum Anschluss der Karte an die IDE-Schnittstelle des Rechners.

Ein LCD-Display-Modul zum Anzeigen der wichtigsten Verbindungsdaten (lcd.tar.gz) lässt das Bastlerherz höher schlagen – hier kann sich der fortgeschrittene fli4l-User austoben. Der Mini-HTTP-Server aus httpd.tar.gz erlaubt es, Funktionalitäten, wie sie die imon-Clients bieten, über einen Web-Browser zu nutzen. Der Daemon telmond aus dem Paket isdn.tar.gz protokolliert eingehende Telefonanrufe auf dem ISDN-S0-Bus, so dass man abends nachschauen kann, wer im Laufe des Tages versucht hat anzurufen. Auch kann man telmond aus der Ferne per Telefonanruf auf einer speziellen MSN zu einer Aktion bewegen, zum Beispiel den Router ins Internet einwählen lassen. Einige fli4l-Anwender treiben dies sogar soweit, dass der fli4l-Router nach erfolgter Einwahl eine SMS mit der vom ISP vergebenen, dynamischen IP-Adresse an ihr Handy schickt.

Zum direkten Zugriff auf den fli4l-Router per Shell können die Dienste telnetd oder sshd aus dem Paket inet.tar.gz installiert werden. Normalerweise ist der Shell-Zugang zum Betrieb des Routers jedoch nicht nötig und sollte aus Sicherheitsgründen vermieden werden – auch wenn der in fli4l integrierte Paketfilter einen Zugriff von außen standardmäßig verhindert. Ein ftpd zum Filetransfer rundet das inet-Modul ab.

Rührige fli4l-User sorgen mit weiteren, unter http://www.fli4l.de/german/opt.htm und http://www.fli4l.de/german/addons.htm zu findenden Paketen für zusätzliche Funktionalität. Zu nennen sind hier zum Beispiel Bridging aus dem OPT_BRIDGE-Paket, automatisches Anmelden bei dynamischen DNS-Anbietern (OPT_DYNDNS), ein kleiner Mail-Server (OPT_EXTREMAIL), Unterstützung von Funk-LAN-Karten (OPT_FUNK_LAN), ein Fax-Empfänger über Modems (OPT_MGETTY), ein QOS-Paket (OPT_QOS) zur Vergabe von Transferraten für die Clients, ein SNMP-Modul (OPT_SNMP), eine VPN-Anwendung (OPT_VPND) und, und, und…

Sicher ist sicher

Bei der Nennung des Telnet- und des FTP-Servers mag schon mancher die Stirn gerunzelt haben: Gerade auf einem Router haben Sicherheitsfragen schließlich oberste Priorität. Die meisten installierbaren Dienste werden an die lokale Netzwerkkarte gebunden oder vom konfigurierbaren Paketfilter des fli4l-Routers vor Zugriff von außen geschützt. Hierzu gibt man in der Konfigurationsdatei des Basis-Pakets diejenigen Ports an, auf denen ein Verbindungsaufbau von außen abgelehnt werden soll. Die Beispiel-Datei enthält bereits die nötige Konfiguration, um Zugriffe von außen zu verweigern. Da Linux ohnehin Zugriffe auf Ports ablehnt, auf denen kein Dienst angeboten wird, bleibt diese Konfiguration überschaubar.

Außerdem kann das Routing bestimmter Protokolle, die festgelegte Ports verwenden, untersagt werden, indem man einfach die entsprechenden Ports in der Konfiguration angibt. So blockiert man auch die Kommunikation bestimmter Spyware, die "nach Hause telefoniert".

Desweiteren ist es möglich, dem integrierten DNS-Server eine "Blacklist" von Domains oder Hosts mitzugeben, welche er nicht auflösen soll. Kommt nun ein findiger User im LAN auf die Idee, stattdessen einen DNS-Server im Internet direkt anzusprechen, sperrt man zusätzlich das Routing (Forwarding) des für DNS zuständigen Ports 53, sodass er mehr oder minder gezwungen wird, den DNS-Servers des fli4l-Routers zu verwenden.

Die Paketfilterkonfiguration ist normalerweise statisch, denn sie muss bereits bei Erstellung der Diskette festgelegt sein. Abhilfe schafft hier ein zusätzliches Paket (OPT_CGICONF), mit dem sich die Paketfilterkonfiguration über den Web-Browser zur Laufzeit ändern lässt. Damit ist es dann auch möglich, einzelnen Clients im LAN den Internet-Zugang zu bestimmten Zeiten zu verwehren – z. B. nachts, wenn die Kinder schon lange ins Bett gehören.

Trotz Paketfilters empfiehlt es sich, so wenig wie möglich Server-Dienste auf dem Router laufen zu lassen – dafür eignet sich ein dedizierter Zweitrechner besser. Doch was in der Firma selbstverständlich sein sollte, kann im Heimbereich Kompromisse verlangen. Hier muss jeder fli4l-User selbst abwägen, ob und welche Dienste er installieren möchte. Notwendig zum Betrieb als Router sind sie selbstverständlich nicht: Im Idealfall sollte man gänzlichst auf sie verzichten.

Unterstützung für Menschen

Beim Einsatz älterer Hardware kann es zu Problemen kommen, denn nicht jeder weiß, wie er beispielsweise eine ISA-Netzwerkkarte genau konfigurieren muss. Hier hilft die fli4l-Dokumentation weiter, die schrittweise sämtliche Konfigurationsparameter erklärt. Insgesamt umfasst sie ca. 150 Druckseiten. Sie liegt sowohl in Text- als auch in HTML-Form dem jeweiligen Paket bei und ist außerdem unter http://www.fli4l.de/german/extern/docu/portal.html verfügbar.

Doch gerade, wer sich vorher nie mit Networking beschäftigt hat, vermisst darin womöglich die Lösung des einen oder anderen Konfigurationsproblems. Für solche Problemfälle steht unter http://www.fli4l.de/german/probformular.htm ein Problem-Report-Formular zur Verfügung. Das fli4l-Support-Team kann dann meistens weiterhelfen. Dem Erfahrungsaustausch dienen die fli4l-Newsgroups auf dem Server news.spline.de oder eine Mailingliste (http://www.fli4l.de/german/mailingl.htm). Hier helfen mittlerweile Tausende von fli4l-Benutzern weiter, geben nützliche Tipps oder diskutieren neue Software-Module.

Zukünftige Entwicklung

Die weitere fli4l-Entwicklung konzentriert sich wieder mehr auf eigentliche Routing-Anwendungen, z. B. die Integration von QOS, den Aufbau von VPNs über das Internet und einfachere Konfiguration für Kabelmodem-Anschlüsse, bei denen die IP-Adresse über DHCP vom Provider aus bereitgestellt wird.

Weitere Server-Dienste zu integrieren ist nicht geplant, ganz im Gegenteil. Allerdings verwenden viele Anwender fli4l auch als File-, HTTP- und FTP-Server. Um diesem Dilemma zu entkommen und eine Alternative anzubieten, entstand ein neues Projekt EIS/FAIR [8]. Dabei handelt es sich um einen einfach zu installierenden und konfigurierenden Internet-/Intranet-Server, den man im lokalen Netz (vom Internet aus gesehen also hinter einen Router wie fli4l) platziert und damit ein großes Sicherheitsrisiko umgeht. EIS/FAIR wiederum ist sehr einfach – sogar noch einfacher als fli4l – zu konfigurieren und – im Gegensatz zu gängigen Distributionen – vor allem überschaubar. Zum Betrieb benötigt man jedoch eine Festplatte oder eine Compact-Flash-Karte, die allerdings nur 30 bis 60 MB groß sein muss. Im Moment ist noch alles im Aufbau und lediglich eine Beta-Version verfügbar. Die erste stabile Version von EIS/FAIR sollte aber noch im Februar erscheinen.

tar -xvfz fli4l-2.0.tar.gz

tar -xvfz /mnt/cdrom/LinuxUser/fli4l/dsl.tar.gz

./mkfloppy.sh

OPT_PPPOE='yes'                 # Aktivieren von DSL über PPPoE
PPPOE_NAME='T-Online'           # Name des Circuits oder ISPs
PPPOE_USEPEERDNS='no'           # Bezug der DNS-Server über den ISP
PPPOE_ETH='eth1'                # Wahl der Netzwerkkarte für PPPoE
PPPOE_USER='poweruser'          # Benutzerkennung für die Anmeldung
PPPOE_PASS='geheim'             # Passwort für die Anmeldung
PPPOE_DEBUG='no'                # Debugging für Problemsuche
PPPOE_HUP_TIMEOUT='600'         # Zeit, nach der die Verbindung abgebaut
                                # werden soll, wenn keine Daten fließen
PPPOE_SYNCHRONOUS='no'          # Synchrones PPPoE, normalerweise 'no'
PPPOE_CHARGEINT='60'            # Takt bei zeitabhängigen Tarifen
PPPOE_TIMES='Mo-Su:00-24:0.0:Y' # Zeitbereiche/Kosten für LC-Routing