"Wir sind drin"

Internetzugang für Netzwerke mit dem SNAPgear SOHO+ Router

von Jörg Frühbrodt, IT-Security Training & Consulting

Kleinere Unternehmen sind die Hauptzielgruppe für den SNAPgear SOHO+ Router. Mit ihm nutzen mehrere PC's gemeinsam einen kostengünstigen und schnellen ADSL-Internetzugang. Außendienstmitarbeiter und Zweigstellen bekommen Zugriff auf das Unternehmensnetz.

Router wie der SOHO+ (Abbildung 12KB) transportieren die Datenpakete zwischen privaten, lokalen Netzwerken und dem öffentlichen Internet. Diese Aufgabe kann natürlich auch von einem entsprechend konfigurierten PC übernommen werden. Mit FLI4L oder einer beliebigen Linux-Distribution konfiguriert ein versierter Techniker in kurzer Zeit einen Router, der darüber hinaus noch weitere Dienste als Firewall, Datei-, Mail-, Proxy-Server leisten kann.Dies ist trotz aller Fortschritte der Linux-Distributionen hinsichtlich ihrer Benutzerfreundlichkeit und nicht zuletzt wegen der Komplexität der Netzwerktechnologien noch immer keine triviale Aufgabe. Unternehmen ohne eigene Netzwerkspezialisten greifen deshalb in der Regel auf externe Dienstleister zurück, um spezifische Anforderungen umzusetzen. Kleine und mittlere Unternehmen benötigen häufig einfach nur einen gemeinsamen Internetzugang für die Nutzung von Email und Web. Da ohnehin meist Microsoft Windows eingesetzt wird, bietet sich der mitgelieferte Netzwerkdienst ICS (Internet Connection Sharing) an, der auf einem mit dem Internet verbundenen PC konfiguriert wird. Er ist sicherlich eine bequeme Lösung, hat aber gravierende Sicherheitsschwächen. (siehe Kasten Notlösung ICS)

Features

Was für Heimnetzwerke gerade noch akzeptabel sein kann, ist für KMU's schlicht existenzbedrohend. Die Lösung des Dilemmas zwischen mangelhafter Sicherheit und hohem Aufwand sind Geräte, neuerdings "appliances" genannt, wie der SOHO+ des amerikanischen Herstellers SNAPgear. Er schützt das lokale Netz durch eine wirksame Firewall vor Eindringlingen. Für die Verbindung des lokalen Netzes mit dem Internet bietet das Gerät gleich vier Optionen: ADSL, Modem, Cable Modem und Direct Connection. Mit letzterem ist eine Internet-Standleitungen mit eigener IP-Adresse gemeint, die wegen der vergleichsweise hohen Kosten für die meisten kleineren Unternehmen nicht besonders attraktiv sein dürfte. Selbst mit den in Deutschland noch kaum verbreiteten Kabelnetzen arbeitet der SOHO+ zusammen. Die kostengünstigste Lösung sind derzeit breitbandige ADSL-Verbindungen, wie beispielsweise der T-DSL-Anschluß der Telekom. Für ihn wird seit Jahresbeginn das zusätzlich zum Router benötigte DSL-Modem nicht mehr mitgeliefert. Im folgenden wird noch beschrieben, wie der SOHO+ für den T-DSL-Anschluß konfiguriert wird. Sollte die breitbandige Verbindung einmal ausfallen, kann der Internetzugang durch ein mit dem Routers verbundenes, gewöhnliches Modem notdürftig sichergestellt werden. Weitere, sinnvolle Netzwerkfunktionen ersparen einiges an Administrationsarbeit. Der eingebaute DHCP-Server verteilt automatisch IP-Adressen an die Windows-PCs im lokalen Netz. Ein DNS-Proxy verkürzt die Zeiten für Verbindungsaufbauten, indem er Nameserver-Abfragen weiterleitet und deren Ergebnisse zwischenspeichert (DNS-Caching). Das hinter dem Router liegende lokale Netzwerk verbirgt der SOHO+ durch Masquerading. Eine Beschränkung der Benutzerzahl gibt es beim SOHO+ im Gegensatz zu einigen Konkurrenzprodukten erfreulicherweise nicht. Außendienstmitarbeiter und Zweigstellen bekommen dank der Dial-In-Funktion Zugang zum Unternehmensnetz, ohne das auf dem Laptop zusätzliche Software nötig ist. Für die dauerhafte, sichere Verbindungen mit Zweigstellen oder Partnern bietet sich die IPSec-Funktionalität des SOHO+ an, die alle Nutzdaten verschlüsselt über das Internet transportiert.

Harte Schale

Für diese Vielzahl von Funktionen ist keineswegs ein Gerät von der Größe eines PC's notwendig. Die Elektronik des SOHO+ findet Platz in einem geschwungen geformten, grauen Kunststoffgehäuse von den Ausmaßen einer Zigarrenkiste. Es ist stapelbar und macht einen mechanisch robusten Eindruck. Weder das Gehäuse noch das externe, GS-geprüfte Schaltnetzteil (mit erfreulich langen Zuleitungen) erwärmen sich auch im Dauerbetrieb nennenswert. Ein nervtötend lauter Lüfter ist also nicht notwendig. Auf eine Festplatte als weitere, mögliche Lärmquelle konnten die Entwickler verzichten, weil das Betriebssystem und die Konfiguration in einem 2MB großen FlashPROM gespeichert werden. Die Aktualisierung des Betriebssystems ist per TFTP möglich. Die notwendigen Images gibt es kostenlos auf der SNAPgear-Website. Wie die Release Notes zeigen, wird die Systemsoftware ständig gepflegt und weiterentwickelt. Verbessert werden muß die Befestigung der Geräteplatine im Gehäuseinneren. Sie war die Ursache für eine längere Fehlersuche. Beim Zurücksetzen (Reset) der Hardware mittels eines Mikrotasters hatte sich die Platine innerhalb ihres Gehäuses unbemerkt um einen oder zwei Millimeter verschoben. Als Folge blieb der Taster in seiner Gehäusebohrung hängen und konnte nicht mehr in seine Ausgangsposition zurückkehren. Der "Dauer-Reset" ließ natürlich alle folgenden Konfigurationsversuche scheitern.

Auf der Rückseite des Gehäuses findet sich zwei 10BaseT-Anschlüsse für das lokale Netzwerk und das Internet. Die beiden seriellen RS232-Ports dienen dem Anschluß von Modems oder ISDN-Terminaladaptern.

...und weicher Kern

Die Steuerung des SOHO+ übernimmt ein Motorola Coldfire-Prozessors m5307 mit gerade einmal 89 Mhz Taktfrequenz. Dies mag angesichts des Wettbewerbs der beiden größten Prozessorhersteller um immer mehr Gigahertz geradezu anachronistisch erscheinen. Das trotzdem keine Leistungsengpässe festgestellt werden konnten, liegt vor allem am Betriebssystem des SOHO+. Es basiert auf einem für den Coldfire-Prozessor optimierten Linux-Kernel 2.4.10. Frühe Linux-Anhänger werden sich noch an die vergleichsweise schlanken Linux-Kernel 2.0.X erinnern, die auf einem Intel 386 mit 40 Mhz und 4MB Hauptspeicher eine überzeugende Leistung boten. Dem SOHO+ stehen immerhin 16 MB Hauptspeicher und eine modernere Prozessorarchitektur zur Verfügung.

SW-Installation/Konfiguration

Der englischsprachige "Quick Install Guide" ist eine nützliche Hilfe für technisch weniger versierte Benutzer. Auf der beiliegenden CD gibt es zusätzlich ein recht ausführliches Benutzerhandbuch im PDF-Format. Lässt sich das Problem nicht lösen, gibt es innerhalb der ersten 30 Tage nach dem Kauf den kostenlosen Installationssuppport per Email. Die Installation der Konfigurationssoftware für den SOHO+ ist auf einem PC mit einem der zahlreichen Microsoft-Betriebssysteme in einer Minute abgeschlossen. Unter Windows 98 stürzte das Installationsprogramm nachvollziehbar ab. Auf einem zweiten Rechner mit dem gleichen Betriebssystem trat das Problem hingegen nicht auf.

Die mehr Stabilität gewohnten Linux-Nutzer benötigen kein Installationsprogramm. Mit dem mitgelieferten Kommandozeilen-Programm ist die IP-Adresse des SOHO+ im Handumdrehen gesetzt. Für die weiteren Konfigurationsarbeiten kann bei beiden Plattformen ein Webbrowser verwendet werden. Damit der Browser die Konfigurationsseiten auch wirklich vom Router und nicht aus dem eigenen Cache lädt, muß entweder auf den "Aktualisieren"-Knopf gedrückt oder die Voreinstellungen geändert werden. Für den Microsoft Internet Explorer wird unter "Temporäre Internetdateien" die Option "Neuere Version der gespeicherten Seiten suchen" ausgewählt. Der Netscape 6.2 bringt den HTTP-Server Boa des SOHO+ in kurzer Zeit zum Absturz. Die Boa-Entwickler führen dies auf einen Bug in der Netscape-Software zurück.

Die webbasierte, von SNAPgear Management-Console (ScreenShot 134KB) genannte Konfigurations-Software, erleichtert durch ihren logischen Aufbau und die ausführlichen, gut verständlichen aber englischsprachigen Hilfstexte. Eine zusätzliche Hilfe sind die guten FAQ und Beschreibungen für die IPSec-Konfiguration von Drittprodukten auf der SNAPgear-Website.

Fortgeschrittene können den Telnet-Zugang benutzen. In sehr kleinen, lokalen Netzen ist das dies noch hinnehmbar. Wer jedoch auf die Fernadministration über das Internet angewiesen ist, wird das Fehlen von OpenSSH bedauern.

Safety first

In der Vergangenheit wurde häufig von Routern berichtet, deren Fernkonfigurationszugang vom Internet her leicht zugänglich war. Einige Hersteller verwendeten sogar recht einfallslose Standardpassworte, die natürlich binnen kurzer Zeit auf den einschlägigen Hacker-Sites kursierten. Beim SOHO+ ist der Zugriff auf die Management-Console(MC) genannte Web-Fernkonfiguration und Telnet ab Werk deaktiviert. Dies ist auch gut so, denn der BOA-Server beherrscht keine SSL-Verschlüsselung. Auf die Administration über das Internet ohne verschlüsselte Verbindung sollte überhaupt besser verzichtet werden. Zwar bietet der SOHO+ zusätzlich die Möglichkeit, den Zugriff auf bestimmte IP-Adressen zu beschränken. Die Schutzwirkung gegen fortgeschrittene Angriffstechniken ist jedoch begrenzt.

Die Firewall des SOHO+ basiert auf iptables, einem verbindungsorientierten Paketfilter (stateful packet filter) für Linux in der Version 1.2.4. Sie ist bereits für den einfachen Internetzugang vorkonfiguriert und blockt alle aus dem Internet eingehenden Verbindungen ab. Eigene Firewall-Regeln sind frei definierbar. Sie können auch die bereits vorhandenen ersetzten oder ergänzen. Gegen Denial-of-Service- (DoS), Spoofing- und Smurf-Angriffe haben die Entwickler ausreichende Vorkehrungen getroffen. Versuchte Angriffe und Verbindungsversuche hinterlassen eine Meldung im Systemlog, daß sich auch auf einem anderen Linux-Rechner (remote logging) befinden kann. Die Interpretation der Systemmeldungen ist nur Netzwerk-Spezialisten möglich, die aber eigentlich nicht die Zielgruppe des SOHO+ sind. Leider gibt es auch keine Funktion zur Alarmierung eines Kundigen per SMS oder Email. Ohne sie ist auch das "Intruder Detection and Blocking" (IDB) sinnlos, weil niemand zeitnah von dem gerade stattfindenden Angriff oder den Vorbereitungen dazu erfährt. IDB gaukelt einem Angreifer durch vermeintlich offene Ports einen mangelhaft konfigurierten Router vor und beantwortet Ausspähversuche mit einer Verbindungssperre für die IP-Adresse des "Interessenten". Einen technisch versierten Angreifer können solche Abwehrmechanismen allerdings nicht lange aufhalten.

Manche Unternehmen möchten den Besuch bestimmter Web-Angebote und aktive Inhalte wie ActiveX, JavaApplets oder auch Cookies verhindern. Den dazu notwendigen Content-Filter oder die Unterstützung für CyberNOT, eine kommerzielle "Schwarze Liste", hat der SOHO+ leider noch nicht.

Summa...

...sumarum ist der SOHO+ ist ein angenehm unkompliziertes und zuverlässiges Gerät. In der dreiwöchigen Testphase traten keine Abstürze oder andere Schwierigkeiten auf. Das Fehlen von verschlüsselten Verbindungen für die Web-Administration wird durch die VPN-Fähigkeit des SNAPgear ausgeglichen. Der moderate Preis erscheint angemessen und ist insbesondere für KMU's ein Argument für die Kaufentscheidung.