Hardware-Router

Firewall

Für unabdingbar halte ich die Firewall-Funktion. Der Einsatz einer Firewall auf einzelnen PCs im LAN würde die Handhabung z. B. von Laufwerksfreigaben erheblich erschweren. Daten aus dem Internet sollten dort gefiltert werden, wo sie in das LAN gelangen, und das ist am DSL-/ISDN-Router.

Wenn Sie viel Wert auf Sicherheit legen, dann kommt für Sie womöglich ein Router mit einer Stateful-Inspection-Firewall in Betracht, die wesentlich mehr Sicherheit bietet (vgl. Kapitel 11.2.1, Firewall).

Praktisch ist die Funktion eines Drucker-Spoolers. Sie können an den Router einen Drucker anschließen, der über das Netzwerk erreichbar ist und somit von allen Netzwerkteilnehmern im LAN genutzt werden kann. Dazu ist es erforderlich, auf jedem PC den entsprechenden Druckertreiber zu installieren (vgl. Kapitel 9.2.4, Drucker- und Dateifreigaben).

Wenn Sie in hohem Maße auf den Internetzugang angewiesen sind, dann sollten Sie überlegen, ob ein automatischer Backup-Zugang über ISDN die richtige Lösung für Sie sein kann. Der DSL-Router schaltet den Internet-Zugang automatisch von DSL auf ISDN, wenn er feststellt, dass der DSL-Zugang nicht verfügbar ist.

ISDN

Den ISDN-Router können Sie direkt mit dem NTBA der Deutschen Telekom verbinden. Sie benötigen kein Modem wie bei einem DSL-Zugang. Es ist unüblich, dass ein ISDN-Router über einen integrierten Switch verfügt, und daher ist der direkte Anschluss von mehreren PCs an einen ISDN-Router nicht möglich. Sie benötigen neben dem Router noch einen Hub oder Switch, an den Sie die PCs des LANs und den ISDN-Router (mit dessen LAN-Interface) anschließen können. Die Verschaltung entspricht übrigens auch bei DSL-Routern ohne weiteren Switch-Port der Abbildung 12.11.

Ein DSL-Router ersetzt nicht automatisch das DSL-Modem! Es gibt aber vermehrt DSL-Router, die auch das DSL-Modem beinhalten - ein aus meiner Sicht sehr konsequenter Schritt.

Achten Sie beim Stromanschluss des DSL-Modems darauf, dass Sie keine schaltbaren Stromleisten/Mehrfachsteckdosen verwenden, die zu einem einzelnen PC gehören. Wenn der Strom für diesen PC ausgeschaltet wird, können die anderen PCs nicht mehr über den Router auf das Internet zugreifen, weil dem Router der Strom abgeschaltet wurde.

Ich habe meinen Router an eine digitale Zeitschaltuhr angeschlossen. Das hat den Vorteil, dass der Router nicht manuell ein- und ausgeschaltet werden muss, sondern automatisch zu bestimmten Zeiten zur Verfügung steht und zu anderen Zeiten - in meinem Fall z. B. nachts - nicht eingeschaltet ist. Die digitalen Zeitschaltuhren bieten meiner Meinung nach den Vorteil, dass man verschiedene Schaltzeiten für die einzelnen Wochentage vergeben kann. Der Preis einer solchen Zeitschaltuhr liegt bei 10 Euro.

Erster Kontakt

Wenn Sie sich zu dem Router verbinden möchten, dann ist es erforderlich, im gleichen IP-Bereich zu arbeiten, den die Standardeinstellung des Routers vorsieht. Denkbar sind viele IP-Bereiche, doch vermutlich wird es der IP-Bereich 192.168.0.x oder 192.168.1.x mit einer 24-Bit-Subnetzmaske sein.

Unsicher

Die Standardeinstellungen der Router, also der Auslieferungszustand, sind extrem unsicher. Das beginnt bei Standardpasswörtern, die man z. B. unter http://newdata.box.sk/2001/jan/dad.txt finden kann. Bei meinem Router lautete das Passwort für den Benutzer Admin »admin«. Diese Passwörter sollten Sie umgehend ändern.

DHCP

Eine weitere Standardeinstellung ist der aktive DHCP-Server. Sie müssen selbst wissen, ob Sie einen DHCP-Server in Ihrem LAN einrichten wollen oder nicht. Leider verfügen die meisten DSL/ISDN-Router nicht über ein statisches DHCP, sodass sich die IP-Adresse der PCs in Ihrem LAN ständig ändern würde. Dies ist ein Nachteil z. B. für Laufwerksfreigaben, denn über eine Namensauflösung per DNS verfügen die meisten Router ebenfalls nicht.

Für DHCP, SNMP und Telnet gilt die goldene Regel, dass Sie das, was Sie nicht benötigen, am besten deaktivieren. Ein DSL-Router sollte aus dem Internet heraus möglichst tot wirken, denn dann ist er weniger angreifbar. Ich habe bei meinem Router die Funktion, dass ein PING aus dem Internet beantwortet wird, umgehend deaktiviert, denn es gibt niemanden, der meinen Router aus dem Internet anpingen muss.

Als nächsten Schritt sollten Sie die Regeln der Firewall durchsehen. Wenn es noch keine Regeln gibt, sperren Sie alle Protokolle von allen IP-Adressen auf allen Ports kleiner 1025 mit Zielrichtung Ihres LANs. Dann geben Sie als höherrangige Regel den Port 53 TCP frei. Er dient der Namensauflösung per DNS. Normalerweise ist Ihre Firewall damit abgeschottet und lässt nur noch das Nötigste durch. Wenn Sie diese Arbeit beendet haben, sollten Sie einen Test für Ihre Firewall im Internet absolvieren, z. B. unter http://www.pcflank.com/test.htm. Weitere Informationen dazu finden Sie in Kapitel 11.2.1, Firewalls.

Firmware

Das Betriebssystem eines Routers wird als Firmware bezeichnet. Die Version der Firmware wird Ihnen an einer Stelle des Administrationsmenüs angezeigt. Wie auch bei den PC-Betriebssystemen gibt es bei den Firmewares Fehler in Form von Sicherheitslücken. So war mein Router von einem Bug betroffen, der unter bestimmten Umständen dazu führte, dass jemand das Administrator-Passwort anfordern konnte und vom Router eine Antwort bekam. Die Lösung für solche Probleme sind Firmware-Updates. Der Hersteller eines Geräts - in meinem Fall der Händler 4MBO - bietet in unregelmäßigen Abständen solche Updates an. Sie sollten bei Ihrem Hersteller nachsehen, ob ein Update für die Firmware Ihres Routers angeboten wird. Wenn ja, empfehle ich Ihnen zunächst nachzulesen, welche Probleme mit dem Update behoben werden, bevor Sie das Update einspielen.

Das Einspielen eines solchen Updates ist immer ein bisschen heikel, denn die Firmware muss zunächst komplett fehlerfrei auf den Router übertragen werden. Der Vorgang darf nicht unterbrochen oder durch parallele Datenübertragungen gefährdet werden. Wird die Firmware unvollständig oder fehlerhaft übertragen, müssen Sie den Router im schlimmsten Fall zum Hersteller einsenden, damit er die Firmware wiederherstellt.

Die Technik

Ihr Router hat eine Einstellung für einen automatischen Verbindungsabbau, den Idle-Timer . Wenn einen - von Ihnen definierbaren - Zeitraum lang keine Daten transferiert wurden, wird die Verbindung automatisch abgebaut. Erst wenn aus Ihrem LAN Daten angefordert werden, wird die Verbindung wieder aufgebaut.

Das Problem

Insbesondere durch eDonkey, aber auch durch andere fehlgeleitete Pakete werden von Ihrem Router fortlaufend Pakete empfangen und verworfen. Diese Pakete werden jedoch als Datenverkehr wahrgenommen, daher wird die Verbindung nicht abgebaut. Im Extremfall bleibt Ihre Verbindung 24 Stunden bis zur Zwangstrennung bestehen, und Sie zahlen eine größere Summe für diese nutzlose Online-Zeit.

Exkurs

Technisch gesehen besteht das Problem darin, dass der Router z. B. auf TCP-Port 4662 (eDonkey) keinen NAT-Eintrag hat, also keinen PC im LAN, an den er den Datenstrom weiterleiten könnte. Deshalb sendet Ihr Router im Fall von TCP eine Ablehnung, TCP RST . Dieses gesendete Paket wird als ausgehendes Paket registriert, und der Idle-Timer beginnt von vorne zu ticken. Auch ein UDP-Paket wird mit einem ICMP Port unreachable beantwortet und löst ebenfalls das Zurücksetzen des Idle-Timers aus.

Lösungen

Mit einigen Komforteinbußen können Sie eine sehr einfache Lösung anwenden: Strom aus. Schalten Sie den Strom des Routers aus, ist auch die Verbindung ins Internet getrennt. Der Nachteil dieser Lösung ist, dass Sie und alle anderen im LAN nur dann surfen können, wenn der Strom eingeschaltet ist.

Wenn Sie bei den Firewall-Regeln großen Einfluss nehmen können, bietet es sich an, eingehende Pakete auf dem UDP/TCP-Ports 4661, 4662 und 4665 zu ignorieren (engl. deny ). Das Gleiche gilt für jede Art von ICMP-Mitteilung. In der c't 04/03, Seite 66, wird für Linux-Router die Filter-Regel active=filter 'outbound and not icmp[0] == 3 and not tcp[13] & 4 != 0' vorgestellt, die zur richtigen Behandlung des Idle-Timers führen soll.

Mein DSL-Router bietet im Bereich der Firewall-Regeln leider keine übermäßig genauen Möglichkeiten, sodass man lediglich eingehende Pakete sperren ( reject ), aber nicht ignorieren kann. Trotzdem lässt sich das Problem lösen. Bei meinem DSL-Router gibt es einen Inactive Timeout . Wie Sie Abbildung 12.12 entnehmen können, kann man dort eintragen, welcher Zeitraum vergehen soll, bis der Router auf abgelehnte Pakete antwortet. Ich habe die höchstmögliche Zahl, 65.536, gewählt. Die Angabe hat die Einheit Sekunden; 65.536 Sekunden entsprechen über 18 Stunden. Weil ich meinen Router nur zwischen 10 und 22 Uhr eingeschaltet habe - das habe ich über eine Zeitschaltuhr geregelt - arbeitet der Idle-Timer zuverlässig.