DHCP-Server¶

Nach der Grundfunktion eines Routers ist die wichtigste Zusatzfunktion eines Router-Multifunktionsgerätes der DHCP-Server, mit dessen Hilfe die angeschlossenen Rechner/Geräte automatisch eine funktionierende Netzwerkeinstellung für das Protokoll IPv4 erhalten.

Dazu muss der DHCP-Server jedem bei ihm anfragenden Teilnehmer diese Informationen übermitteln:

• eine für den Teilnehmer individuelle IPv4-Adresse

• die IP-Adresse einer Gegenstelle, über welche der Teilnehmer andere Rechner erreichen kann

Zur Verbesserung des Komforts werden regelmäßig noch diese Informationen zusätzlich übermittelt:

• Größe des lokalen Netzwerks in Form einer Netzmaske: Damit kann der Rechner mit anderen Teilnehmern im lokalen Netzwerk direkt ohne Vermittlung durch den Router kommunizieren.

• Leitwege zu anderen Netzen: In der Regel wird mindestens eine default-Route mitgeteilt.

• Einen oder mehrere DNS-Namensserver: Damit kann der Rechner symbolische Namen wie ubuntuusers.de verwenden, welche ein DNS-Namensserver in numerische IP-Adressen übersetzt.

Möglich sind noch viele weitere Optionen wie beispielsweise Rechnername, Zeitserver, Dateiserver.

Der Artikel Router/DHCP-Server beschreibt die Konfiguration eines solchen DHCP-Servers.

Bei IPv6 ist die Verwendung eines DHCP-Servers für die Adresszuweisung an einzelne Rechner unüblich, da jeder Rechner aus vom Router angekündigten Netzwerk-Präfix und Routen per SLAAC seine IPv6-Adresse selbst festlegen kann. Zur Ankündigung der Informationen im Netzwerk kann man das Programm radvd verwenden oder auch systemd-networkd oder NetworkManager. Eine Möglichkeit per DHCPv6 ganze Netzwerke zuzuweisen beschreibt der Artikel Präfix-Delegation.

NAT¶

Oft besitzt man selber keine im Internet verwendbaren IPv4-Adressen. Der eigene Router bekommt vom ISP lediglich eine einzige IPv4-Adreese verliehen und auch diese meist nur für maximal 24 Stunden. Mit dieser einen öffentlichen IPv4-Adresse kann man zwar alles im Internet erreichen, aber dafür nur ein einziges Gerät gleichzeitig benutzen. Der DHCP-Server kann dann nur private IPv4-Adressen an die Teilnehmer im lokalen Netzwerk ausgeben und der Router muss für den Übergang ins Internet die privaten Adressen in seine einzige eigene öffentliche IPv4-Adresse übersetzen, damit zeitgleich mehrere Geräte Gegenstellen im Internet erreichen können. Diese Technik heißt NAT, hat viele technische Nachteile (siehe dazu die unten verknüpften Verweise), ist aber leider beim Protokoll IPv4 unbedingt erforderlich.

Einer der Nachteile von NAT (LAN → Internet) ist die fehlende Erreichbarkeit eines Servers im lokalen Netzwerk (d.h. aus Sicht des Internets „hinter einem NAT“) aus dem Internet. Wer diese Funktionalität benötigt, muss wegen des ersten NATs noch ein weiteres NAT in der Gegenrichtung (LAN ← Internet) schalten, dieses wird auch als Portfreigabe oder Portweiterleitung bezeichnet.

Der Artikel Router/NAT enthält technische Hinweise zur Konfiguration beider NAT-Arten.

DNS-Cache¶

Eine weitere optionale, aber für ein Router-Multifunktionsgerät sinnvolle Funktion ist ein DNS-Server (engl.: Domain Name System), welcher die im Internet gebräuchlichen DNS-Namen wie beispielsweise Wiki.UbuntuUsers.de übersetzt in die technischen IP-Adressen, im Beispiel 213.95.41.4.

Ein eigener DNS-Server erfüllt im lokalen Netzwerk zwei Aufgaben:

1. Für die eigenen Rechner im lokalen Netzwerk können symbolische Namen definiert werden, über die die Teilnehmer dann erreichbar sind. Dies erspart den Benutzern den Gebrauch von IP-Adressen. Man benötigt dazu eine eigene Domain, welche man bei einem Registrar (z.B. nic.at 🇦🇹, DENIC 🇩🇪, SWITCH 🇨🇭) registrieren, aus den allgemein freigegebenen Namen auswählen (s. RFC 6761, 2606) oder sich einfach aneignen kann. Für die letzte, nicht empfohlene Variante sind gebräuchlich Namen mit diesen Endungen: .corp, .home, .internal, .intranet, .lan, .private, fritz.box, .local (auch für Multicast-DNS wie Avahi).

2. Der DNS-Server leitet Anfragen für ihm nicht selbst bekannte Namen weiter an andere DNS-Server (Forwarder) im Internet und speichert deren Antworten in seinem Cache. Spätere Anfragen der gemerkten Namen können dann schneller bedient werden.

Wenn ein solcher DNS-Server auf dem Router-Multifunktionsgerät arbeitet, dann gibt man auf jedem Rechner im eigenen Netzwerk immer nur die IP-Adresse des eigenen Routers als DNS-Server an. Zu diesem Zweck veröffentlicht in der Regel der Router per DHCP sich selbst als DNS-Server.

Wenn man ein VPN benutzt, kann im Interesse der Vertraulichkeit dagegen eine Deaktivierung des DNS-Servers auf dem Router wichtig sein; und ebenso wichtig ist es dann auf den Clients auch die DNS-Abfragen durch den Tunnel zu schicken. Wenn man dies nicht macht, kann ein Abhörer den DNS-Verkehr im Klartext mitlesen und daraus auf die besuchten Stellen im Internet Rückschließen.

Zur Konfiguration eines DNS-Servers lese man den Artikel Router/DNS-Server.

Firewall¶

Eine Firewall (dt. Brandmauer, aber die deutsche Bezeichnung ist in diesem Kontext nicht gebräuchlich) soll zwei Bereiche voneinander trennen, so dass in einem Bereich vorhandene gefährliche Zustande nicht in den anderen gelangen können. Im Kontext eines Routers auf der Grenze zwischen dem Internet und dem privatem Bereich (sog. Border-Router) sind dies genau die zu trennenden Bereiche.

Ein Firewall auf der Grenze soll also sowohl uns vor aus dem Internet empfangenen unsinnigen (aber dennoch als Waffe zu gebrauchenden!) IP-Paketen schützen, als auch das Internet vor solchen von unserem Router irrtümlich ausgesendeten IP-Paketen bewahren. Das ist eine andere Aufgabenstellung als die im Artikel Personal Firewalls beschriebene und erfordert daher auch eine andere Lösung.

Konzeption und Betrieb eines Firewall bedarf grundsätzlich immer einer vorherigen individuellen Bedarfsanalyse. Die hier folgenden technischen Hinweise können eine individuelle Betrachtung und Konfiguration nicht ersetzen, sondern sollen nur zur Veranschaulichung anhand eines Beispiels dienen, und auch dieses speziell nur für Paketfilter als Firewall.

Es gibt einige allgemeine Kriterien, welche IP-Pakete von einem Border-Router verworfen werden sollten bzw können:

Weitere Funktionen¶

• WLAN-Zugangspunkt siehe WLAN Router

• Einwahlserver für VPN

• Datei-Server siehe Samba, NFS, NFSv4, FTP

• Telefonanlage

• Bandbreiten-Management Skripte/Traffic-Shaping

Links¶

• DHCP 🇩🇪 – Dynamic Host Configuration Protocol

• SLAAC 🇩🇪 – Stateless Address Autoconfiguration (IPv6)

• NAT 🇩🇪 – Netzwerkadressübersetzung

• NAT - Network Address Translation 🇩🇪 – Artikel bei Elektronik-Kompendium zur Funktionsweise und den Problemen dieser Technik

• DNS 🇩🇪 – Domain Name System

• RFC 2606 🇬🇧 – Allgemein verfügbare Domainnamen enden auf: .test, .example, .invalid, .localhost

• RFC 6761 🇬🇧 – Aktualisierung von RFC 2606, s. Anhang G für im privaten Bereich oft verwendete Domänen

• Firewall 🇩🇪

• RFC 6890 🇬🇧 – IP-Adressen für spezielle Zwecke

• RFC 3704 🇬🇧 – Ingress Filtering for Multihomed Networks (Ein Reverse Path Filter ist eine Anwendung der Strategie Reverse Path Forwarding für Multicast-Router mit anderer Zielsetzung bei Unicast-Router.)

• Source Routing 🇩🇪

• SNMP 🇩🇪 – Security is Not My Problem/Priority

• ICMP 🇩🇪 – Internet Control Message Protocol